KU_KEY_ENCIPHERMENT
KU_DIGITAL_SIGNATURE | KU_KEY_ENCIPHERMENT | KU_KEY_AGREEMENT
return ku_reject(x, KU_KEY_ENCIPHERMENT) ? 0 : ret;