Ce este extensia pentru folosirea cheii extinse?
Extensia pentru folosirea cheii extinse (EKU) este foarte asemănătoare cu extensia pentru folosirea cheii (KUE), doar că valorile EKU sunt definite în funcție de “scop” (de exemplu, semnarea de răspunsuri OCSP, identificarea unui client SSL, ș.a.m.d.), și pot fi ușor extinse.  EKU este definit prin identificatori de obiect numiți OID-uri.  Dacă este omisă extensia EKU, toate operațiile sunt potențial valabile.

Care este diferența dintre KUE și EKU?
 EKU este mai nou și este în general considerat mecanismul principal de restricționare a utilizării, în timp ce KUE este considerat de obicei ca fiind mai puțin flexibil. KUE este definit în funcție de “operații”. EKU este definit în funcție de “scop”. EKU-urile sunt verificate de obicei ofensiv (de ex. “trebuie să aibă acest EKU OID”), în timp ce KUE-urile sunt verificate de obicei defensiv (de ex. “trebuie să aibă un bit de nerepudiere și poate avea bit doar de criptare/decriptare”). Pentru o autoritate de certificare, lista de obiective restricționează tipurile de certificate care pot fi create de autoritate; o operație trebuie inclusă atât în autoritate cât și în certificatele pe care le semnează pentru a fi validă.

Ce înseamnă “Această extensie este critică”?
Acesta este cunoscut și sub numele de “indicator de stare critică”. Este un fanion care indică software-ului care utilizează certificatul dacă este precaut să ignore extensia pentru folosirea cheii extinse dacă nu o recunoaște. Certificatul va fi respins dacă software-ul nu recunoaște o “extensie critică”.