Що таке розширення використання ключа?
Розширення використання ключа (KUE) визначає, як можна використовувати сертифікат. Розширення використання ключа обмежує область застосування відкритого ключа в сертифікаті. Наприклад, можна створити сертифікат для підписування електронних листів, але не для їх шифрування. Розширення розширеного використання ключа (EKU) схоже на KUE, але має характер «мети» (наприклад, підписування відповідей OCSP, ідентифікація SSL-клієнта тощо). Розширення EKU більш нове і більш гнучке, ніж KUE, а тому вважається основним механізмом обмеження використання. Ви зможете настроїти розширення розширеного використання ключа в цьому асистенті пізніше.

Ви можете використовувати такі розширення використання ключа:

Підпис: увімкніть, якщо відкритий ключ сертифіката використовуватиметься в механізмі цифрового підпису для підтримки інших безпечних служб, окрім підписування сертифікатів.

Невідмовність: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для перевірки цифрових підписів, які застосовуються службою невідмовності, що запобігає безпідставним відмовам від вчинених дій. Невідмовність не дозволяє одній зі сторін відмовитись від своїх зобов’язань чи контракту в спірних ситуаціях. 

Шифрування ключів: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для шифрування ключів із будь-якою метою. Шифрування ключів використовується для пересилання та загорнення ключів (або керування ключами).

Шифрування даних: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для шифрування даних, які не є криптографічними ключами.

Узгодження ключів: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для узгодження ключів. Протокол узгодження ключів (також відомий як протокол обміну ключами) використовується, якщо дві сторони домовляються про ключ, який застосовуватиметься у криптографічній системі із секретним ключем, в якій ключами можна обмінюватися вільно і надійно через ненадійні канали зв’язку. (Наприклад, це розширення задається, якщо для керування ключами використовуються ключі Диффі-Хеллмана.)

Підписування сертифікатів: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для перевірки підпису сертифікатів із відкритим ключем. Сертифікати з цим розширенням є сертифікатами центрів сертифікації. Якщо це розширення задане в сертифікаті, також має бути задано опцію «Використовувати цей сертифікат як центр сертифікації» в розширенні базових обмежень (Basic Constraints Extension, BCE). Розділ BCE з’явиться в цьому асистенті пізніше.

Підписування списків відкликаних сертифікатів (CRL): увімкніть, якщо відкритий ключ сертифіката використовуватиметься для перевірки підпису списку відкликаних сертифікатів (Certificate Revocation List, CRL).

Тільки шифрування: увімкніть, якщо відкритий ключ сертифіката використовуватиметься для перевірки підпису сертифікатів із відкритим ключем. Сертифікати з цим розширенням є сертифікатами центрів сертифікації. Якщо це розширення задане в сертифікаті, також має бути задано опцію «Використовувати цей сертифікат як центр сертифікації» в розширенні базових обмежень (Basic Constraints Extension, BCE). Розділ BCE з’явиться в цьому асистенті пізніше.

Тільки розшифровування: увімкніть, якщо також дозволено параметр «Узгодження ключів». Показує, що відкритий ключ сертифіката можна використовувати для розшифровування даних під час узгодження ключів.

Що означає маркер «Це розширення є обов’язковим»?
Також відомий як «індикатор обов’язковості». Це — маркер, що вказує програмі, яка використовує сертифікат, чи можна знехтувати розширенням використання ключа, якщо вона це розширення не розпізнає. Якщо програма не розпізнає обов’язкове розширення, сертифікат буде відхилено.