Avainkäyttö

Avainkäyttö (engl. Key Usage) on X.509-sertifikaateissa käytetty laajennus, joka määrittää julkiselle avaimelle sallitut kryptografiset toiminnot. Se on ASN.1-koodattu Bit STRING -laajuus, jonka tarkoituksena on estää sertifikaatin väärinkäyttö rajoittamalla, mihin tehtäviin avain sopii. Laajennus voidaan merkitä kriittiseksi, jolloin sen ymmärtämättömyys johtaa sertifikaatin hylkäämiseen.

Laajennus voi sisältää seuraavia bittien yhdistelmiä (englanninkieliset termit ilmoitettu sulkeissa): digitalSignature (digitaalinen allekirjoitus), nonRepudiation (non-repudiation tai riidattomuus, käytäntönä nykyisin rajoitetumpi merkitys), keyEncipherment (avaimen salausavain), dataEncipherment (datan salaus), keyAgreement (avainsopimus), keyCertSign (sertifikaatin allekirjoitus), cRLSign (CRL:n allekirjoitus), encipherOnly ja decipherOnly (merkityksellisiä vain, jos käytetään avainsopimusta).

Sovelluksissa avainkäyttö auttaa varmistamaan, että sertifikaattia käyttävä ohjelmisto suorittaa vain sallittuja kryptografisia operaatioita. Esimerkkejä käytöistä ovat TLS-sertifikaatit, joissa yleisiä yhdistelmiä ovat digitalSignature ja keyEncipherment, sekä sähköpostisertifikaatit tai VPN-sertifikaatit, joissa voidaan tarvita lisäksi keyAgreement.

Key Usage on usein rinnalla EKU-laajennukselle (Extended Key Usage), joka tarkentaa käyttötarkoituksia (esim. server authentication, client authentication, code signing). Avainkäytön oikea määrittäminen parantaa sertifikaatin käytettävyyttä ja turvallisuutta, ja kriittinen merkitseminen varmistaa, että sovellukset noudattavat käytettävissä olevia rajoituksia.