У себя изначально используем издание сертификатов по схеме:
клиент передает нам в УЦ запрос в pkcs#10

Клиенты довольны.

Что обходится в легкую?






Я привел свой случай (клиент у себя генерирует закрытый ключ) и получил:

Продолжайте мысль.


Какое отношение имеет УЦ к проблемам в ИБ на стороне клиента?

Я возмущен.

Lvovich, Вы сейчас делаете не что иное, как пытаетесь (причем голословно) дискредитировать российскую сертифицированную PKI.

На пальцах: ко мне приходит клиент за сер-том. Мы вместе садимся возле АРМа Администратора ЦР (кстати, аттестованное рабочее место, с СЗИ от НСД и ПО по ЖТЯИ, которое сертифицировано ФСБ; АРМ, который через файер 4 класса подключен только к ЦРу, на котором так же все по ЖТЯИ; который в свою очередь подключен к ЦС, на котором... ну понимаете), где я на глазах абонента регистрирую его, вставляю сертифицированный носитель (токен) и генерирую на этот носитель неэкспортируемый ключ.
И Вы мне хотите сказать, что я каким-то образом имею возможность как-то там чего-то оставить у себя?

Ну если так, то наши службы, разработчики и УЦ в каком-то глобальном подпольном сговоре и Вам (пользователям) остается только... смирится и принять как есть

P.S. Ппц...

Т. е. вы не доверяете сотрудникам УЦ, в который пришли? Зачем вы пришли в данный УЦ?
Выберите другой УЦ, почитаейте его регламент и если Вас все устраивает, смело пользуйтес его услугами.
А если Вы подозреваете, что закрытый ключ скомпрометирован, в т.ч. на стороне УЦ, то сертификат следует немедленно отозвать.

А ограничения в сертификатах, прописанные либо через OID в расширенном использовании ключа, либо через политики сертификата, никоим образом не влияют на безопасность ключевого носителя.