Требуется сделать подпись документов по аналогии как сделано на ЭТП.

Для подписи текстов и документов разного типа - .doc, .pdf, .jpeg предполагаю использовать такой путь:
Имеется html-форма с текстовыми полями + выбор файла.
1) Пользователь заполняет все поля, выбирает все файлы.
2) Файлы прикрепляются, и в ответ сервер отдает хеш каждого файла, который записывается в hidden поля формы.
3) Все данные складываются (текст + все хеши файлов) и получается документ (строка) для подписи.
4) С помощью capicom происходит выбор сертификата и подпись, запись результата подписи в hidden поле.
5) Форма отправляется на сервер.
т.о. в конце на сервер отправляются все данные формы как они есть и скрытое поле - подпись.

Этого достаточно серверу для проверки подписи, действительности сертификата который подписал отправленную форму?
Или нужно передать еще сам сертификат и еще что-то? - но не будет ли это тогда угрожать безопасности системы?

Я просто никак не пойму одну вещь, ведь передавая данные формы в открытом виде мы рискуем что они могут быть перехвачены, - тогда в алгоритм вставить пункт по шифроваyb. данных формы перед передачей, или как?

Подпись проверяется, все ок. А вот каким образом можно проверить действительность сертификата? Я так понимаю нужно мне добавить на сервере (linux) через утилиту cryptcp СА сертификаты в доверенные, списки отзывов (которые автоматически постоянно обновлять) а потом смотреть, подписан ли сертификат пользователя одним из доверенных, не истек ли его срок действия и нету ли его в списках отзывов? Чем это можно сделать?

В состав CSP для Linux входит утилита cryptcp, которая умеет ставить подпись, проверять подпись, шифровать, расшифровывать и т.п. и при всех этих действиях она строит и проверяет цепочку сертификатов (проверяет, что сертификат доверенный и не отозван). Если сертификат не доверенный или отозван, утилита действует в зависимости от параметров запуска. Есть три варианта:
-по умолчанию выдает предупреждение(спрашивает у пользователя, доверять ли сертификату), можно ввести вручную(yes/no), в зависимости от этого сертификат будет или не будет использован
-при запуске с флагом nochain ошибки при проверке цепочки игнорируются
-при запуске с флагом errchain если при проверке цепочки возникли ошибки cryptcp вернёт ошибку и не будет использовать сертификат, не прошедший проверку.

Посмотрите cryptcp.pdf из документации на CSP, там подробно описан функционал утилиты. Скорее всего, её использование решит задачу.

Если же стоит задача написать собственное приложение, которое кроме всего прочего будет проверять сертификат на отзыв, обратите внимание на функцию CertGetCertificateChain .

Так, чтобы проверить с цепочкой подпись, мне нужно сперва установить в root храинлище через команду ./cryptcp -instcert -dm -enable-install-root garant2.cer? Но утилита выдает:
CryptCP 3.33 (c) "Crypto-Pro", 2002-2010.
Command prompt Utility for data protection.
-instcert - Install issued certificate from PKCS #7 file.
Error: No more data is available. (0x103)
[ErrorCode: 0x00000103]

Возможно нужно как-то дополнительно указать что сертификат .cer?

Хех, man 8 certmgr помог =)
только в документации что-то нигде не нашел, при проверке ./cryptcp получает списки отзывов из корневого сертификата через интернет, или нужно самому периодически опрашивать сервера доверенных УЦ и устанавливать их списки отзывов через ./certmgr???