Из ваших комментариев непонятно - что и в какой конфигурации у вас работает, а что - нет?
Работает ли ваша служба (именно служба) с использованием криптопровайдера "Crypto-Pro HSM Svc CSP" и обычных вызовов CryptoAPI (CryptAcquireCertificatePrivateKey() CryptCreateHash() CryptHashData() CryptSignHash())? Или для проверки вы написали обычное приложение (не службу)?

Может Вам помогут выдержки из документации:

"Криптопровайдер “Crypto-Pro HSM Svc CSP” (тип 75) отличается от криптопровайдера «Crypto-Pro HSM CSP» только тем, что позволяет выводить запросы на ввод пин-кодов для ключей пользователей не на «рабочий стол» рабочей станции пользователя, а на LCD панель ПАКМ. Кроме этого он позволяет организовать обмен между сервером и ПАКМ по более производительному нешифрованному каналу, при условии осуществления однозначной двусторонней аутентификации «сервер<->ПАКМ», нахождении сервера и ПАКМ в одной контролируемой зоне и условии, что используется специальный сертификат ключа доступа, включающий расширение (extended key usage - EKU) «1.2.643.2.2.34.22».
Данный криптопровайдер используется в основном в серверных конфигурациях серверами приложений, работающими в фоновом режиме и не имеющими консоли для вывода сообщений и/или запроса пин-кодов. Он реализован в виде отдельного сервиса ОС Windows, запускаемого при загрузке ОС.
"

"Кроме этого, обращения к криптопровайдерам, работающим с ПАКМ через сервис, в данном случае - «Crypto-Pro HSM Svc CSP» и «Crypto-Pro HSM RSA Svc CSP», могут быть сделаны только пользователями с учетными именами SYSTEM (LocalSystem), NetworkService, пользователями, входящими в группу локальных администраторов компьютера или в группу «Привилегированные пользователи КриптоПро HSM». Группу «Привилегированных пользователей КриптоПро HSM» можно создать вручную и добавить туда, например, учетные имена, под которыми исполняются сервисные приложения (например, пул приложений .NET под управлением Microsoft IIS). Эти же правила действуют при обращении пользователей к любым криптопровайдерам ПАКМ через системный трей, при использовании специального флага в вызовах интерфейса CryptoAPI - CRYPT_MACHINE_KEYSET."

"Администраторам серверов, рекомендуется установить для провайдера 75 типа криптопровайдером по-умолчанию «Crypto-Pro HSM Svc CSP», т.к. некоторые вызовы сервисы Windows делают, используя провайдеры «по умолчанию»."

т.е. для работы с криптопровайдером "... Svc..." нужно в HSM зарегистрировать пользователя с признаком, не помню, точно как он значится, "пользователь-Компьютер" (в Web интерфейсе) или "Is Computer?" в интерфейсе LCD панели. И сформировать для него как обычно ключи и сертификат доступа. В сертификате будет расширение "Администратор сервера" (то, что упомянуто выше - «1.2.643.2.2.34.22»). Плюс ваша служба должна работать под учетной записью, удовлетворяющей вышеописанным условиям.

Попробуйте сделать криптопровйдер «Crypto-Pro HSM Svc CSP» провайдером по-умолчанию для 75 типа. Реализация CryptSignMessage помимо указанных вызовов может включать другие обращения... к провайдеру по-умолчанию

Спасибо! Это помогло!

UPD: Работает, если в качестве провайдера по умолчанию стоит "CryptoPro HSM Svc CSP" или "Crypto-Pro GOST R 34.10-2001 Cryptographic Service Provider". И не работает, если в качестве провайдера по умолчанию стоит "CryptoPro HSM CSP"

Еще раз спасибо за помощь!

Отредактировано пользователем 21 мая 2013 г. 15:18:20(UTC)  | Причина: Не указана