Gerenciador de certificados do Windows restaurar chave privada de alguma forma

Isso pode soar muito estranho, mas deixe-me explicar uma situação:
Eu estava usando minha chave privada PKI instalada em Windows Certificate Storage Eu recebo token, então decidi carregá-los para o token e excluí-los do armazenamento do Windows. Por enquanto, tudo bem.

Mas agora, quando eu uso a chave do token reaparece Windows Certificate Storage (isso é normal, como você pode ver também certificados de smartcards aqui). Mas eu posso exportar a chave privada! E isso está definitivamente errado.

Eu tentei usar o token somente em máquinas diferentes (onde a chave privada nunca foi realmente armazenada no armazenamento) e a chave privada não é exportável.

Você tem alguma ideia de como isso aconteceu? E como realmente excluir chave privada do armazenamento? Ou por que eles foram armazenados de alguma forma?

Eu sou apenas "WOW" - eu não chamaria isso de forma segura - de acordo com http://seclists.org/fulldisclosure/2006/Apr/164 chaves privadas não são deletadas e ficam no sistema SEM qualquer informação sobre isso, usei tentei usar o aplicativo no link anexo, mas ele não funciona, porém consegui identificar chaves privadas com o editor hexa no caminho C:\Users\[USERNAME]\AppData\Roaming\Microsoft\Crypto\RSA\[UID] e exclua-os permanentemente do sistema. Eu ainda estou meio que chocado, isso não é um bug, mas sim um recurso.

Se você tem um certificado instalado em HD (ou seja, usando o MS Enhanced CSP), então, seguindo a Microsoft, você pode removê-lo usando o IExplorer, no Ferramentas menu, você clica opções de Internet então você clica no *   Conteúdo * e, em seguida, clique em Remover. Esta é uma ação bem conhecida   descrito em http://www.microsoft.com/technet/prodtechnol/ie/reskit/6/part2/c06ie6rk.mspx?mfr=true

Fazendo isso, você efetivamente remove o certificado, mas O PRIVADO   A CHAVE PERMANECE NO HD. Você pode encontrar muitos cenários onde isso pode   ser um problema. Suponha que você vá para a casa de um amigo, você instale um pkcs12   arquivo contendo seu certificado e chave privada com "Medium"   nível de segurança (o padrão), use-o e quando terminar   seu trabalho, você remove o certificado (mas NÃO a chave privada). Então   seu amigo pega seu certificado (é um documento público) e instala   isso, ter sua chave privada trabalhando para ele.

O programa cleancapi apaga as chaves privadas que não são usadas por   qualquer certificado. Código fonte: http://dwnl.nisu.org/dwnl?fic=cleancapi_0_2_src.zip Pré-compilado   versão: http://dwnl.nisu.org/dwnl?fic=cleancapi_0_2_bin.zip