Що таке розширення розширеного використання ключа?
Розширення розширеного використання ключа (Extended Key Usage, EKU) багато в чому схоже на розширення використання ключа (Key Usage Extension, KUE), за винятком того, що значення EKU мають характер «мети» (наприклад, підписування відповідей OCSP, ідентифікація SSL-клієнта тощо) і легко розширюються та доповнюються. Функції EKU задаються ідентифікаторами об’єктів, званих OID. Якщо розширення EKU немає, всі операції потенційно дозволено.

В чому полягає різниця між KUE та EKU?
Розширення EKU більш нове і вважається справжнім механізмом обмеження використання, тоді як KUE вважається менш гнучким. KUE мають характер «дії». EKU мають характер «мети». Перевірка розширень EKU, як правило, більш активна (наприклад, «повинен мати цей ідентифікатор OID EKU»), тоді як розширень KUE — більш пасивна (наприклад, «повинен мати біт невідмовності та може мати біт тільки шифрування/розшифровування»). Для центрів сертифікації список дозволених дій обмежує типи сертифікатів, які центр може створювати. Операція вважається коректною, якщо вона дозволена й у центрі, і в сертифікаті, підписаному цим центром.

Що означає маркер «Це розширення є обов’язковим»?
Також відомий як «індикатор обов’язковості». Це — маркер, що вказує програмі, яка використовує сертифікат, чи можна знехтувати розширенням використання ключа, якщо вона це розширення не розпізнає. Якщо програма не розпізнає обов’язкове розширення, сертифікат буде відхилено.