金鑰用法擴充及擴充金鑰用法

金鑰用法擴充定義包含在憑證中之公開金鑰的用途。您可以使用它們將公開金鑰限制到所需要的任何作業數目。例如，如果您讓金鑰僅用於簽署或驗證簽名，請啟用數位簽章及/或不拒絕擴充。或者，如果金鑰僅用於金鑰管理，請啟動金鑰加密。

金鑰用法擴充

下表說明使用 CA 程序所建立的憑證可以使用的金鑰用法擴充。

註：根據預設，會為所有的網際網路憑證啟動數位簽章及資料加密金鑰用法擴充。

表 1. 金鑰用法擴充
金鑰用法擴充	說明
數位簽章	在公開金鑰與數位簽章機制搭配使用時使用，以支援除不拒絕、憑證簽署或 CRL 簽署之外的安全性服務。數位簽章常用於透過完整性來進行實體鑑別及資料來源鑑別。
不拒絕	在使用公開金鑰驗證用於提供不拒絕服務的數位簽章時使用。不拒絕可避免簽署實體錯誤地拒絕部分動作 (排除憑證或 CRL 簽署)。
金鑰加密	在將憑證與加密金鑰的通訊協定搭配使用時使用。範例是 S/MIME 封套，其中快速（對稱的）金鑰是從憑證使用公開金鑰加密的。SSL 通訊協定亦執行金鑰加密。
資料加密	在公開金鑰 (而不是加密金鑰) 用於加密使用者資料時使用。
金鑰協定	在公開金鑰的寄件人及收件人需要不使用加密而衍生金鑰時使用。此金鑰還可用於加密寄件人與收件人之間的訊息。金鑰協定通常與 Diffie-Hellman 密碼搭配使用。
憑證簽署	在主旨公開金鑰用於驗證憑證上的簽名時使用。此擴充僅在 CA 憑證中使用。
CRL 簽署	在主旨公開金鑰要驗證革新資訊 (如 CRL) 上的簽名時使用。
僅限加密	只在金鑰協定也啟動時使用。這可讓公開金鑰在執行金鑰協定時僅用於加密資料。
僅限解密	只在金鑰協定也啟動時使用。這可讓公開金鑰在執行金鑰協定時用於僅用於解密資料。

擴充金鑰用法進一步調整金鑰用法擴充。擴充金鑰可能很重要也可能不重要。如果擴充很重要，則憑證必須僅用於指出的一個以上的目的。如果憑證用於其他目的，則違反 CA 原則。

如果擴充不重要，則它會指出金鑰之指定的一個以上的目的，且可能用於尋找有多個金鑰/憑證之實體的正確金鑰/憑證。擴充僅是參考欄位，而不表示 CA 會將金鑰的使用限制於指出的目的。不過，為了接受憑證，使用憑證的應用程式可能需要指出特定的目的。

如果憑證包含重要的金鑰用法欄位及重要的擴充金鑰用法欄位，則必須單獨處理這兩個欄位，憑證僅用於與這兩個欄位一致的目的。如果沒有與這兩個欄位一致的目的，則憑證不可用於任何目的。