Делаю свое окно, заменяющее окно КриптоПро по вводу пароля на контейнер.
Как можно проверить, что введенный в моем окне пароль работает?
Я сейчас сделал следющее:
1. Открываю контекст с ключем CRYPT_SILENT;
2. Даю контексту пароль на контейнер с помощью CryptSetProvParam();
3. Пробую считать сертификат (у меня они устанавливаются в контейнер);
4. Если 3 не получилось, пароль не правильный.

Есть ли более верное решение? Я где-то слышал, что в версиях 3+ для чтения сертификата не надо предоставлять пароль (типа, открытая информация).
Важно, чтобы решение было совместимо с CSP 2.0 и 3+.

Да, конечно.
Позвольте уточнить список подобных операция.

Я правильно понимаю, что второе может не подойти, если у ключей нет флага разрешения экспорта?
Или это не имеет значения, так как сначала проверяется доступ, а только потом производится анализ флага?

Нет. Все подойдет - флаг экспорта нужен для копирования контейнера, а здесь CryptExportKey вызывается для создания ключа обмена ДХ
Но в случае копирования действительно, сначала проверяеся пароль, затем уже наличие флага.