Knoten (Arcs) werden hierarchisch delegiert: 1.2.840 ist der US-Zweig unter ISO, 1.2.840.113549 gehört RSA Security (PKCS), unter 1.3.6.1.4.1 liegen die Private Enterprise Numbers, 2.5 ist das X.500-Verzeichnis und 2.16.840.1.101.3.4 umfasst die NIST-Algorithmen. In X.509 begegnen sie dir ständig: 1.2.840.10045.2.1 (id-ecPublicKey), 1.2.840.10045.3.1.7 (P-256), 1.3.101.112 (Ed25519), 2.5.29.17 (subjectAltName), 2.23.140.1.2.1 (Richtlinie des CA/Browser Forum für domainvalidierte Zertifikate).
DER kodiert eine OID mit dem Tag 0x06: Die ersten beiden Knoten werden zu 40 × erster + zweiter zusammengefasst, und jeder weitere Knoten wird zur Basis 128 geschrieben, wobei das oberste Bit als Fortsetzungsflag dient. Aus 1.2.840.10045.2.1 wird 06 07 2A 86 48 CE 3D 02 01.
Unbekannte OIDs sind an sich keine Fehler: Zertifikatsparser zeigen sie als Zahlen in Punktnotation an, und eine kritische Erweiterung mit unbekannter OID muss zur Ablehnung führen (RFC 5280 §4.2). Der ASN.1-Explorer zeigt für die bekannten den Namen an.