Häufig verwendete erweiterte Schlüsselverwendungen (Extended Key Usages) und Ausstellungsrichtlinien (Issuance Policies)

Nachfolgend eine Auflistung von häufig genutzten erweiterten Schlüsselverwendungen (Extended Key Usage) und Ausstellungsrichtlinien (Issuance Policies), die in der Praxis immer wieder verwendet werden, um Zertifizierungsstellenzertifikate zu beschränken.

Häufg verwendete erweiterte Schlüsselverwendungen (Extended Key Usages):

Kennen Sie TameMyCerts? TameMyCerts ist ein Add-On für die Microsoft Zertifizierungsstelle (Active Directory Certificate Services). Es erweitert die Funktion der Zertifizierungsstelle und ermöglicht die Anwendung von Regelwerken, um die sichere Automatisierung von Zertifikat-Ausstellungen zu realisieren. TameMyCerts ist einzigartig im Microsoft-Ökosystem, hat sich bereits in unzähligen Unternehmen auf der ganzen Welt bewährt und steht unter einer freien Lizenz. Es kann über GitHub heruntergeladen und kostenlos verwendet werden. Professionelle Wartung wird ebenfalls angeboten.

Die erweiterten Schlüsselverwendungen werden in manchen Dokumentationen auch Anwendungsrichtlinien (Application Policies) genannt.

OID	Beschreibung
1.3.6.1.4.1.311.20.2.1	Certificate Request Agent
1.3.6.1.5.5.7.3.2	Client Authentication
1.3.6.1.5.5.7.3.3	Code Signing
1.3.6.1.4.1.311.10.3.13	Lifetime Signing
1.3.6.1.4.1.311.10.3.12	Document Signing
1.3.6.1.4.1.311.80.1	Document Encryption
1.3.6.1.4.1.311.10.3.4	Encrypting file system
1.3.6.1.4.1.311.10.3.4.1	File Recovery
1.3.6.1.5.5.7.3.5	IP Security End System
1.3.6.1.5.5.8.2.2	IP Security IKE Intermediate
1.3.6.1.5.5.7.3.6	IP Security Tunnel Endpoint
1.3.6.1.5.5.7.3.7	IP Security User
1.3.6.1.4.1.311.21.6	Key Recovery Agent
1.3.6.1.4.1.311.10.3.11	Key Recovery
1.3.6.1.5.2.3.5	KDC Authentication
1.3.6.1.4.1.311.10.3.1	Microsoft Trust List Signing
1.3.6.1.4.1.311.10.3.10	Qualified Subordination
1.3.6.1.4.1.311.10.3.9	Root List Signer
1.3.6.1.5.5.7.3.4	Secure E-mail
1.3.6.1.5.5.7.3.1	Server Authentication
1.3.6.1.4.1.311.20.2.2	Smartcard Logon
1.3.6.1.5.5.7.3.8	Time Stamping gemäß RFC 3161
1.3.6.1.5.5.7.3.9	OCSP Signing
1.3.6.1.4.1.311.54.1.2	Remote Desktop Authentication
1.3.6.1.4.1.311.21.5	Private Key Archival
2.16.840.1.113741.1.2.3	Intel Advanced Management Technology (AMT) Provisioning

Häufig verwendete Ausstellungsrichtlinien (Issuance Policies):

OID	Beschreibung
2.5.29.32.0	All Issuance Policies (AnyPolicy)
1.3.6.1.4.1.311.21.32	TPM Key Attestattion: User Credentials: (Low Assurance)
1.3.6.1.4.1.311.21.31	TPM Key Attestattion: Endorsement Certificate: (Medium Assurance)
1.3.6.1.4.1.311.21.30	TPM Key Attestattion: Endorsement Key: (High Assurance)

Weiterführende Links:

• Grundlagen: Einschränken der erweiterten Schlüsselverwendung (Extended Key Usage, EKU) in Zertifizierungsstellen-Zertifikaten
• Die erweiterte Schlüsselverwendung (Extended Key Usage, EKU) für importierte Stammzertifizierungstellen-Zertifikate einschränken
• Konfigurieren der Trusted Platform Module (TPM) Key Attestation
• Grundlagen Onlineresponder (Online Certificate Status Protocol, OCSP)

Externe Quellen

• TPM Key Attestation (Microsoft)
• Setting up TPM protected certificates using a Microsoft Certificate Authority – Part 3: Key Attestation (Microsoft)
• Object IDs associated with Microsoft cryptography (Microsoft, Archivlink)
• Object Identifiers (OID) in PKI (PKI Solutions, Inc.)