то есть подключение к сервису требуется однократно и если оно удалось, то ни в какую ФУО топать не надо?

и между чем и чем организуется защищенный канал? между картой и приложением (криптопровайдером)? а в чем его смысл и где хранится закрытый ключ, к которому выпускается CV-сертификат?

Подключение требуется для получения cv-сертификатов. Они запрашиваются при первом обращении к карте на данной ЭВМ, а затем при окончании срока их действия (или срока действия ключа). Проблема в том, что, как правило, они имеют крайне ограниченные сроки (не более месяца), так что перевыпускать CV-сертификаты нужно относительно часто.

Вкратце логика работы выглядит так:
1) Организуется защищенный канал (TLS) между криптопровайдером и центром выдачи CV-сертификатов.
2) По данному каналу производится общение CV-центра с картой, что приводит к их взаимной аутентификации.
3) В провайдере генерируется ключевая пара (ЗК хранится в реестре).
4) ОК отправляется на центр, где происходит создание CV-сертификатов.
5) Сертификаты возвращаются в провайдер и запоминаются в реестре.

В дальнейшем перед каждым сеансом работы происходит взаимная аутентификация провайдера (с использованием CV-сертификатов и ЗК) и карты (с использованием ЗК,ОК карты), в результате которой между ними устанавливается защищенный канал. Если карте не подошли сертификаты, провайдер запускает цикл их получения заново.

Как писал мой коллега, если данный процесс не может быть выполнен на конкретной ЭВМ, провайдер предоставляет возможность создания запроса на CV-сертификат с сохранением его на флешке, чтобы затем отнести его в ФУО и получить цепочку сертификатов "оффлайн". Поскольку этот процесс, мягко говоря, более накладный, то и срок действия полученных таким образом сертификатов может быть расширен.

А на эти вопросы ответы могут дать только в ФУО. Нам передали спецификацию карты, мы реализовали терминальную часть, научились с ней работать и выложили на сайт в виде криптопровайдера.
Нарушитель для таких протоколов тот, кто сидит в канале между картой и терминалом. Чтобы не казалось совсем надуманным, вспомните, что УЭК имеет и бесконтактный интерфейс (хотя, увы, наш провайдер его и не поддерживает).

В целом, закрытая. Но достаточно подробностей доступно и в открытых частях, которые выдает Google по запросу "спецификация уэк filetype:pdf".

https://www.cryptopro.ru...ptopro-csp-uec/downloads