Проверил. Да, действительно, сертификаты добавляются в момент присоединения токена. Браузер и плагин никак на это не влияют.
Причем эффект проявляется только при наличии КриптоПро и только с Rutoken Lite. Другие токены (Rutoken S, Rutoken ECP, eToken) такого эффекта не вызывают.
Похоже, очередная (уже не первая) "особенность" взаимодействия КриптоПро и Rutoken Lite.
Сначала я столкнулся с тем, что КриптоПро не запрашивает пин-код от Rutoken Lite, если этот пин-код не менялся.
Теперь вот, оказывается, сертификаты добавляются в хранилище без всякого спроса...
Не удивлюсь, если ещё какие-нибудь "особенности" обнаружатся.

А вот зачем все эти "особенности" реализованы -- это вопрос интересный.
Может быть, знающие люди дадут какие-нибудь разъяснения?

Хоть бы статью в базе знаний создали бы что ли...

О том, что сертификаты подтягивает именно плагин Госуслуг, в сабже не говорилось. В сабже звучал вопрос "Кто виноват?". А "виновата" служба распространения сертификтов, так как именно она добавляет сертификаты в хранилище. И об этом я сказал сразу же. И сотрудник КриптоПро позже это подтвердил.
А вот то, что сертификаты добавляет плагин Гослуслуг -- это было Ваше предположение, высказанное здесь. И это предположение пока не подтвердилось, кстати говоря.

Так что никуда я от темы не отклоняюсь. И я, и автор темы -- оба мы пишем об одной и той же проблеме, просто с разных сторон.

Хорошо. Когда пользователь НЕ использует плагин Госуслуг, проблема не проявляется? Это точно?
То есть все варианты, кроме плагина Госуслуг можно исключить? А вот неизвестно. Я не знаю, проверял это ТС или нет. Он ничего об этом не говорил.
Зато я знаю, что сертификат автоматически добавляется из без плагина, потому что я это проверял.


Где он заявлен? В документации? В базах знаний? Мне не попадалось. Я же искал в своё время ответ на этот вопрос.
Единственное упоминание, которое я тогда нашел, было где-то в обсуждениях на форуме (я даже не уверен, что на этом форуме).