Да, для проверки подписи необходим только открытый ключ. Рутокен не обязателен.

Вопрос все еще открыт:(

Соответственно, при вызове verify сертификат берется из CMS-конверта.

const tokenSign = () => {
    return token().then(({ rutoken, devices }) => {
        const device = devices[1];
        console.log(rutoken);
        return rutoken
            .login(device, "123456")
            .then(() =>
                rutoken.sign(device, certId, data, rutoken.DATA_FORMAT_BASE64,
                {
                    detached: false,
                    addUserCertificate: true,
                    addEssCert: false,
                    addSignTime: false,
                })
            );
    });
};

Метод verify:

const tokenVerify = (signData) => {
    return token().then(({ rutoken, devices }) => {
        console.log(devices)
        const device = devices[0];
        console.log(rutoken);
        return rutoken.login(device, "123456").then(() =>
            rutoken.verify(device, signData, {
                    base64: true,
                    verifyCertificate: false,
                })
                .then((res) => console.log(res))
        );
    });
};

Подпись идет одним рутокеном, проверка другим. Проверка возвращает true. Но не могу понять, куда передать открытый ключ подписываещго рутокена, в методе verify. Если есть примеры скиньте плиз, для наглядности)