Я объясню ещё один раз. Вспомните всё, что я уже говорил ранее.

Итак, сертификат можно использовать для двух основных направлений:
1) Шифрование/цифровая подпись;
2) Проверка подписи;

Первое действие можно осуществлять 1 год 3 месяца, второе - 15 лет. УЦ предварительно ничего не знает и не обязан знать о способе применения сертификата. Поэтому может выдавать сертификаты сроком до 15-ти лет.

Если у вас иное мнение насчет того, что УЦ почему-то обязан делать сертификаты основываясь на каких-то расширениях сертификатов (как то "вариантах использования"), то приведите документы, регламентирующие эти сроки для УЦ.

Поймите, что в сертификате можно написать любые OID'ы в качестве расширений, это просто цифры. Контролировать использование сертификатов обязаны конечные пользователи и программы.

Хорошо. Задаю совсем простой вопрос - почему только до 15-ти лет?

Вот именно! Вы сами сейчас признали, что все таки вы выполняете требования разработчика СКЗИ! На последнюю строку-то взгляните. Почему вы ее игнорируете? Почему вы так уверенно говорите, что выпустите сертификат ключа обмена хоть на 3, хоть на 5 лет?

Почитайте внимательно приказ 796. Там говорится о том, что разница в сроках ключа и сертификата не должна превышать 15 лет. А срок именно 15 лет ограничивает разработчик! Получается, что для ключей подписи вы выполняете требования разработчика, а для ключей обмена почему-то не считаете обязательным!

Пока я занят, так что ответьте, пожалуйста, на 2 вопроса:
1) Возможно ли запросить УЦ сделать сертификат строго на ключе AT_KEYEXCHANGE?
2) Если это возможно то различается ли публичный ключ для сертификата с AT_SIGNATURE и сертификата с AT_KEYEXCHANGE?