Для валидации цепочки сертификатов используется функция

CertVerifyCertificateChainPolicy(
IN LPCSTR pszPolicyOID,
IN PCCERT_CHAIN_CONTEXT pChainContext,
IN PCERT_CHAIN_POLICY_PARA pPolicyPara,
IN OUT PCERT_CHAIN_POLICY_STATUS pPolicyStatus
);

Соответственно, параметр pPolicyPara формируется следующем образом:
ZeroMemory(&polHttps, sizeof(HTTPSPolicyCallbackData));
polHttps.cbStruct = sizeof(HTTPSPolicyCallbackData);
polHttps.dwAuthType = AUTHTYPE_SERVER;
polHttps.fdwChecks = dwCertFlags;
polHttps.pwszServerName = pwszServerName;

memset(&PolicyPara, 0, sizeof(PolicyPara));
PolicyPara.cbSize = sizeof(PolicyPara);
PolicyPara.pvExtraPolicyPara = &polHttps;

Можно polHttps.pwszServerName записывать полное имя из сертификата, или допустимо использование только CN?
Собственно, работает у меня только для CN. Пробовал в вашем примере по SSPI при проверке цепочки
передавать полное имя в таком виде, как оно представлено в сертификате. Результатом была ошибка с идентификатором
CERT_E_CN_NO_MATCH.

ЭЭЭ!!!
Это в смысле что не в ту ветку?
Или что вообще не по адресу?
Ну да, тут не по CSP, а по TLS скорее.
Ветки то отдельной по TLS нету.
Вопрос по реализации TLS, которая поставляется вместе с CSP CryptoPro 3.0.

Хорошо. Т.е. не по адресу.
Понимаю, что вы вовсе и не обязаны отвечать на вопросы, непосредственно не касающиеся вышей реализации.
И все же может быть вы подскажете, возможно ли осуществлять проверку сертификата при серверной аутентификации по полному DN, а не только по СN.
Судя по наличию идентификатора CERT_E_CN_NO_MATCH, проверка все же осуществляется по CN.

Однако, не совсем понятен такой момент. Насколько я понимаю, единтсвенным обязательным атрибутом имени при получении сертификата является CN.
Может ли быть такое, что разными лицами будут получены сертификаты с одинаковыми CN, но с различными другими атрибутами имени?
Тестовый УЦ в нашей организации позволяет получать сертификаты с одинаковыми CN при условии, что это будет одобрено администратором.
Хотя возможно тут дело в неправильно настройке именно нашего УЦ.
И если возможно получение сертификатов с одинаковыми CN, то как же тогда быть с проверкой цепочки через функцию CertVerifyCertificateChainPolicy с политикой верификации CERT_CHAIN_POLICY_SSL, если возможна валидация только по CN.

Спасибо большое. У меня было не совсем правильное понимание процесса верификации по данной политике.
А есть ли какие-нибудь средства для работы с DN (проверка на правильность записи, возможность получить составляющую имени и пр.), или все необходимо реализовывать самому.
(нашел только CertStrToName и CertNameToStr).

Большое спасибо за подсказку. Попробуем.