Дуги (arcs) делегируются иерархически: 1.2.840 — ветка США в дереве ISO, 1.2.840.113549 принадлежит RSA Security (PKCS), в 1.3.6.1.4.1 находятся номера частных предприятий (private enterprise numbers), 2.5 — каталог X.500, а 2.16.840.1.101.3.4 охватывает алгоритмы NIST. В X.509 они встречаются постоянно: 1.2.840.10045.2.1 (id-ecPublicKey), 1.2.840.10045.3.1.7 (P-256), 1.3.101.112 (Ed25519), 2.5.29.17 (subjectAltName), 2.23.140.1.2.1 (политика CA/Browser Forum для сертификатов с проверкой владения доменом).
DER кодирует OID с тегом 0x06: первые две дуги объединяются в одно число 40 × первая + вторая, а каждая следующая дуга записывается по основанию 128, причём старший бит служит флагом продолжения. 1.2.840.10045.2.1 превращается в 06 07 2A 86 48 CE 3D 02 01.
Неизвестный OID сам по себе не ошибка: парсеры сертификатов показывают такие OID как числа через точку, но критическое расширение с неизвестным OID должно приводить к отклонению сертификата (RFC 5280, § 4.2). Просмотр структуры ASN.1 называет общеизвестные OID по именам.