不久前，我从 DigiCert 购买了代码签名 EV 证书。我已经拥有一个 USB eToken，因此我选择了一种交付方式，即从他们的网站下载。订单要求我附加一个 CSR，这是我通过他们的 Windows 证书实用程序生成的。在任何时候都没有使用现有的硬件 eToken 进行任何交互，甚至没有插入，所以我知道私钥一定存储在生成 CSR 的 Windows 计算机上，而不是 USB eToken 上。
当他们向我发送下载链接时，我只需将其导入他们的 DigiCert 证书实用程序即可。这意味着证书和私钥现在都位于我的电脑上，而不是我的 USB eToken 上。
似乎我甚至不需要 eToken 设备来签署代码，这让我很疑惑，对于这种特定的交付方式，eToken 的意义何在？我是否应该导出私钥和证书并将其导入 USB eToken，然后将其从我的机器中删除？假设 eToken 的唯一作用是存储无法轻松导出的私钥，为什么甚至有通过下载链接交付 EV 证书的选项，为什么我能够在不连接 USB eToken 的情况下使用实用程序生成 CSR？
下图中的USB：
3 位可能的候选人（可能不是最终名单）：
eIDAS USB 令牌 金雅拓 SafeNet eToken 5110 CC (940)
USB 令牌 金雅拓 SafeNet eToken 5110+
USB 令牌 Gemalto SafeNet eToken 5110+ FIPS（2 级）
唯一的信息是后面的 8 个字符的字母数字代码 +02BD512A，我认为这只是可识别的信息，所以我部分重写了它。
有没有办法通过从设备本身读取来获取有关它的更多信息？
设备产品 ID PID_0620
设备供应商 ID VID_0529
我会向 DigiCert 发送电子邮件告知此事，但我正在尝试快速解决这个问题，没有时间等待票证回复。
具体来说，我询问密文是否可以包含诸如 之类的字节序列170303，这是一种可能的 TLS 记录标头。
通常，解析 TCP 字节流的应用程序通过解析标头并从标头开始后的第 4 个和第 5 个字节中提取八位位组的长度来分隔 TLS 记录。然后，我假设它向前跳过并尝试在由先前解析的标头计算出的偏移量处读取下一条记录。
我的问题是，TLS 1.3 的 AES 256 GCM 实施是否对密码输出施加了任何限制？RFC 没有提及这一点。是否存在以 header 开头170303xxxx，但也包含170303密文一部分的 TLS 记录？
Microsoft Defender SmartScreen 阻止了无法识别的应用程序启动。运行此应用程序可能会使您的 PC 面临风险。
对于从 Internet 下载的可执行文件，我经常收到上述消息。
我有一个第三方程序，我关闭了计划任务和服务，但该程序在启动时仍然打开。操作系统：Windows 10。我还缺少哪些其他设置？我相信这是一个合法的程序，所以我没有检查它是否以不同的名称隐藏了其他任务/服务。启动文件夹中也没有快捷方式。是否有第四种方法来设置程序的自动启动？