determinar la clase de certificado X.509

Certificado "clase" es esencialmente una terminología de marketing. Cada CA es libre de llamar a algunos de los certificados "clase 0" o "clase 1" o lo que sea, lo que significa más o menos "emití eso pero no me molesté en verificar" o "esta vez hice algunos cheques porque el propietario me pagó lo suficiente para eso ".

Teóricamente, según las reglas X.509, la "clase" se debe codificar en el certificado como una Extensión de las Políticas de Certificación : la CA puede poner allí algún OID que designe el conjunto de procedimientos aplicados para la emisión del certificado. Sin embargo, estos OID son específicos de CA, y solo pueden entenderse con un vistazo a la Declaración de Prácticas de Certificación, un documento de apariencia legal que puede o no ser referenciado desde la extensión de CP, y generalmente es un archivo PDF de 200 páginas. eso no puede ser digerido por una computadora, solo por un ser humano (o un abogado).

Recientemente, algunos proveedores comerciales de CA y de navegadores han llegado a un acuerdo sobre Certificados de validación extendida , que pueden considerarse de como certificados de "clase alta" (certificados en los que la CA aplicó cierto cuidado en el proceso), y de hecho se identifican por sus extensiones de CP. Sin embargo, la identificación aún se realiza en relación con una gran lista de "OID de políticas compatibles con EV" que los clientes (navegador web) de alguna manera saben de antemano (es mantenido por los proveedores del navegador).

Por "Clases" Creo que te refieres a "Uso de claves extendidas", y ese atributo en particular es usado por aplicaciones (correo electrónico, navegadores web, tarjetas inteligentes, IPSec, etc.) para determinar qué está permitido hacer ese certificado.

Se puede especificar un EKU en la CA raíz o en cualquier subCA debajo de él. Dondequiera que se defina EKU, todos los usos a continuación deberían heredar esa restricción ... nuevamente, esto es específico de la implementación.

Desde mi prueba, la firma y validación de SMIME se aplican en las aplicaciones cliente, al igual que los certificados HTTPS (también conocidos como autenticación de servidor)

Para ver en qué está configurado un certificado, simplemente ábralo en su almacén de certificados, o descargue el contenido y verá una sección llamada "Uso de clave extendida".

Todas las demás propiedades que ve (incluidas las Restricciones básicas) también limitan si un certificado determinado tiene permiso para firmar un certificado secundario ... que es la definición de lo que hace una CA cuando le dio su certificado.