Как определить тип сертификата (A1 или A3)?

Предположительно, ваша номенклатура A1 и A3 соответствует бразильскому стандарту (e-CPF/e-CNPJ/что-то в этом роде). Насколько я могу судить, эти термины означают:

• A1: Закрытый ключ программного обеспечения
• A3: Аппаратный закрытый ключ

(Мне действительно любопытно, что такое A2, но я отвлекся).

С технической точки зрения, сертификаты не знают, где находятся их ключи. Таким образом, сертификат не знает, является ли его закрытый ключ (где бы он ни был) аппаратным или программным. Но на основе http://www.bcb.gov.br/sfn/ced/ManualdeSeguran%C7adaRSFN-v32.pdf и http://oid-info.com/get/2.16.76.1.2, похоже, вы можете сделать что-то вроде:

private static bool IsBrazilA1Certificate(X509Certificate2 cert)
{
    // End with the "." so it matches on children, but not that OID.
    return HasParentEku(cert, "2.16.76.1.2.1.");
}

private static bool IsBrazilA3Certificate(X509Certificate2 cert)
{
    // End with the "." so it matches on children, but not that OID.
    return HasParentEku(cert, "2.16.76.1.2.3.");
}

private static bool HasParentEku(X509Certificate2 cert, string oidFragment)
{
    var ekuExtension = (X509EnhancedKeyUsageExtension) cert.Extensions["2.5.29.37"];

    if (ekuExtension == null)
    {
        return false;
    }

    foreach (Oid eku in ekuExtension.EnhancedKeyUsages)
    {
        if (eku.Value.StartsWith(oidFragment))
        {
            return true;
        }
    }

    return false;
}

Поскольку у меня нет бразильского сертификата A1 или A3, я не могу проверить это, но это лучшее, что я могу придумать из описания. В противном случае вы спрашиваете: «У этого есть закрытый ключ?» (cert.HasPrivateKey) и "защищен ли закрытый ключ аппаратно?" (гораздо более сложный вопрос).

Редактировать: ничего не стоит тот факт, что приведенный выше код не соответствует обычным правилам проверки EKU. Обычно сертификат без расширения EKU рассматривается так, как если бы он имел все EKU. Но поскольку вы явно ищете что-то, созданное в соответствии с бразильской политикой A1 или A3, оно соответствует тому, что вы запрашивали. (Кроме того, это единственный раз, когда я когда-либо видел, что что-либо должно быть проверено с помощью правила на основе StartsWith, обычно политика представляет собой определенный OID EKU)