Кажется, постепенно осознаю. Беда была в том, в контексте какого криптопровайдера генерировался сертификат PKI. Т.к. из того, что есть в Windows, с SHA-256 работает только PROV_RSA_AES (тип 24), с ним и работал. Вот только в ОС старше чем XP его строковое наименование отличается от строкового наименования его же в XP (Microsoft Enhanced RSA and AES Cryptographic Provider против Microsoft Enhanced RSA and AES Cryptographic Provider (Prototype)). Видать, то, в контексте какого именно криптопровайдера (с точностью до наименования) был сформирован сертификат влияет на его функционирование.
Что делал раньше: генерировал PKI сертификат в Windows 7, устанавливал его в XP, получал ошибку (проблемы с RSA ключом), списывал на отсутствие SHA-256
Что сделал: сгенерировал PKI сертификат прямо в Windows XP, установил его, получил работающий УТМ
Сразу скажу, авторизоваться в ЕГАИС через IE8 не получилось, пришлось разобраться, как этот процесс сэмулировать. В результате рдилась тулза для генерации PKI сертификатов. Из плюшек - в ней, в отличие от сайта egais.ru) виден FSRAR_ID места осуществления деятельности