Вот эти значения можно достать через CryptoAPI ?

подглядел в свежий WinCryptEx.h, там есть KP_START_DATE и KP_END_DATE, но при попытке



оно возвращает NTE_BAD_TYPE 0x8009000A [Указан неправильный тип.]

Там вернулся такой блоб:

Я хитрым взглядом могу его распарсить, например так:


нашёл.

Отредактировано пользователем 12 сентября 2017 г. 16:17:53(UTC)  | Причина: Не указана

Как декодировать такое расширение?
попробовал
CryptDecodeObject(szOID_CryptoPro_private_keys_extension_container_exchange_key_usage_period)
отрабатывает без ошибок, но что возвращает непонятно.

Соглашусь, у зарубежных УЦ есть ограничение действия ключа именно с момента формирования ключевой пары. До момента этого ограничения разрешается перевыпускать новый сертификат на тот же ключ. В отечественной криптографии как правило УЦ не предусматривает возможности перевыпуска сертификата на тот же ключ, так что знание даты не так необходимо. Так, УЦ ФК насколько помню отзывает ранее выпущенный сертификат и отклоняет запрос на сертификат если открытый ключ в запросе совпал со открытым ключом ранее выпущенного сертификата этим же УЦ.

Насколько понимаю, на текущий момент расширение контейнера не переносится при создании нового контейнера и это помогает решить проблемы с сертификатами, выданными более чем на 1 год и 3 месяца, контейнеры которых на съемных носителях или в реестре.
По такой логике в NotBefore была бы не дата формирования ключа, а дата формирования контейнера. Кроме того, даты в контейнере проставляются по локальному времени компьютера, то есть ими легко манипулировать изменив дату на компьютере при пересоздании контейнера.
Обычно достаточно отсчитать назад 1 год 3 месяца от NotAfter, чтобы получить дату формирования контейнера. Ну и конечно дата формирования ключа раньше чем выпуск сертификата, поэтому косвенно можно предположить дату формирования ключа из 2 полученных дат (выпуска сертификата и формирования контейнера). Например, в качестве "первого приближения" взять самую раннюю из них.

Полагаю что да, прибавляется фиксированное количество дней, а не календарными функциями DateAdd("1 year").DateAdd("3 month").
Скорее всего переведено неверно. Ну, дату стартовую 09.10.2018 09:57:47 Вы же заметили сами, а не получили из функций? Отображение Filetime очень зависит от текущего часового пояса и флага "летнего времени" (не у всех стоят последние обновления часовых поясов), одна из функций (например, при создании контейнера) может брать время UTC, вторая при декодировании (или при отображении полученного декодированного результата в Вашей программе) использовать текущий часовой пояс, например UTC+6. Или наоборот - при генерации бралось текущее, а при декодировании было воспринято как UTC и были прибавлен сдвиг часового пояса еще раз. Чтобы узнать наверняка надо просто вытащить необработанное значение времени и пересчитать в видимую дату вручную. Filetime это 64-битное значение, отсчитывается от 1 января 1601 года 0:00 UTC 100-наносекундными интервалами (за секунду значение увеличивается на 10 миллионов). Попробую на досуге проверить сколько у меня разница.