Общий простейший способ правильно задать OID алгоритма подписи: скачать сертификат ЦС и посмотреть какой алгоритм применен там. Тогда при правильно оформленном запросе ЦС сформирует правильный сертификат.

Отличный совет. Только вот я скачал сертификат открыл его виндовой оснасткой и не нашел там алгоритма.
Что-то не так я понял. У меня развернут виндовый CA с основным провайдером CryptoPro 3.6 алгоритм Gost3410 для подписи. Возможно мне прийдется адаптировать приложение к другому центру и Ваш совет очень кстати, но поясните как им воспользоваться.

И еще если не трудно можно примерчик на правильно заполненный запрос

Спасибо, "добавил".

А это нормально, что в detached подписи два раза
упоминается и издатель (поставщик) и SerialNumber подписавшего?

Я просто der - раскодировку сделал и вижу это.

Все из-за того, что интересно стало, почему подпись без сертификатов такая большая.
Сама подпись 64 байта, и эти повторения смущают

Это только ради "hashing algorithms other than SHA-1"? (rfc5126->5.7.3.2.)

Собственно в виндовой оснастке показывается только "user friendly name" для алгоритма подписи (если Windows знает как сопоставить OID алгоритма его имени). Если очень хочется посмотреть на сам OID в этом случае надо сохранить сертификат на диск и декодировать его, например утилитой DUMPASN1 (ссылки приведены на этом же сайте).

Там будет что-то вида:

31 30 10: SEQUENCE {
33 06 6: OBJECT IDENTIFIER '1 2 643 2 2 3'
41 05 0: NULL
: }

или

32 30 13: SEQUENCE {
34 06 9: OBJECT IDENTIFIER
: sha1withRSAEncryption (1 2 840 113549 1 1 5)
45 05 0: NULL
: }

Правильно заполненный запрос по сути представляет собой сам сертификат, но без подписи ЦС (а также дополнительных атрибутов). Читайте все по теме PKCS - там есть отдельный стандарт по запросам на сертификацию.