В общем, лучше-проще использовать OpenSSL экспортировав ключи КриптоПРО в формат PKCS12.
Даже компилировать ничего не нужно, только подключить ГОСТ, но чтобы получить подпись PKCS#7 нужно оборачивать консольный вызов openssl в удобную фукнцию.
NetBear: ну положили мы хэш пароля в базу, как я потом аутентифицирую пользователя по истечении сессии БЕЗ его нехэшированного пароля? Ему придется его вводить, верно? Верно. Аутентификация исключительно по AD, а ему скормить хэш пароля не получится....