RSA-sleutelgebruik controleren voor servercertificaten die zijn uitgegeven door lokale vertrouwensankers (verouderd)

OBSOLETE: Dit beleid is achterhaald en werkt niet na Microsoft Edge 135.

De X.509-extensie voor sleutelgebruik declareert hoe de sleutel in een certificaat kan worden
gebruikt. Deze instructies zorgen ervoor dat certificaten niet worden gebruikt in een onbedoelde
context, die bescherming biedt tegen een klasse cross-protocolaanvallen op HTTPS en
andere protocollen. HTTPS-clients moeten controleren of servercertificaten overeenkomen met de
TLS-parameters van de verbinding.

Vanaf Microsoft Edge 124 is deze
controle altijd ingeschakeld.

Microsoft Edge 123 en eerder vertonen het
volgende gedrag:

Als dit beleid is ingeschakeld,
voert Microsoft Edge deze belangrijke controle
uit. Dit helpt aanvallen te voorkomen waarbij een aanvaller de browser manipuleert om
een sleutel te interpreteren op een manier die niet de bedoeling was van de certificaateigenaar.

Als dit beleid is uitgeschakeld,
slaat Microsoft Edge deze belangrijke controle over bij
HTTPS-verbindingen die onderhandelen over TLS 1.2 en een RSA-certificaat gebruiken dat
is gekoppeld aan een lokaal vertrouwensanker. Voorbeelden van lokale vertrouwensankers zijn onder andere
door het beleid geleverde of door de gebruiker geïnstalleerde basiscertificaten. In alle andere gevallen wordt de
controle wordt uitgevoerd, onafhankelijk van de instelling van dit beleid.

Als dit beleid niet is geconfigureerd,
gedraagt Microsoft Edge zich alsof het
beleid is ingeschakeld.

Dit beleid is beschikbaar voor beheerders om een voorbeeld te bekijken van het gedrag van een
toekomstige release, waarmee deze controle standaard wordt ingeschakeld. Op dat moment is dit
beleid tijdelijk beschikbaar voor beheerders die meer tijd nodig hebben
om hun certificaten bij te werken om te voldoen aan de nieuwe gebruiksvereisten voor RSA-sleutels.

Verbindingen waarvoor deze controle mislukt, mislukken met de fout
ERR_SSL_KEY_USAGE_INCOMPATIBLE. Sites die mislukken met deze fout hebben waarschijnlijk een
onjuist geconfigureerd certificaat. Moderne ECDHE_RSA coderingssuites gebruiken de
optie digitalSignature voor sleutelgebruik terwijl verouderde RSA-coderingssuites voor ontsleuteling
de sleutelgebruiksoptie keyEncipherment gebruiken. Als dit niet zeker is, moeten beheerders
beide opnemen in RSA-certificaten die zijn bedoeld voor HTTPS.

Het beleid is verouderd vanaf Microsoft Edge versie 136,
maar de sleutelcontrole is altijd ingeschakeld sinds Microsoft Edge versie 124.