KU_KEY_CERT_SIGN
!ku_reject(x, KU_KEY_CERT_SIGN))
if (ku_reject(x, KU_KEY_CERT_SIGN))
if (ku_reject(issuer, KU_KEY_CERT_SIGN))
if (X509_get_key_usage(x) != (KU_KEY_CERT_SIGN | KU_CRL_SIGN)) {