KU_KEY_CERT_SIGN
!ku_reject(x, KU_KEY_CERT_SIGN))
if (ku_reject(x, KU_KEY_CERT_SIGN))
} else if (ku_reject(issuer, KU_KEY_CERT_SIGN))