если возможно сгенерировать внутри токена секретный ключ и сохранить его через файл с помощью интерфейса pkcs11, то тоже подойдет.

Если сгенерировать ключ "на борту" Рутокен ЭЦП, то экспортировать его нельзя - он при генерации автоматически становится неэкспортируемым, поскольку является неизвлекаемым. Если нужна резервная копия, ключ придется генерировать софтом, а потом импортировать на токен.

Допустим, я инициализировал токен в формате pkcs15 командами:
pkcs15-init --erase-card -p rutoken_ecp -r 3
pkcs15-init --create-pkcs15 --so-pin "87654321" --so-puk "" -r 3
pkcs15-init --store-pin --label "User PIN" --auth-id 02 --pin "1234" --puk "" --so-pin "87654321" --finalize -r 3

и сгенерировал ключевую пару с флагом "extract"
pkcs15-init -G rsa/2048 --auth-id 02 --label "SKEY1" --public-key-label "PKEY1" -r 3 --extractable

Как мне получить закрытый ключ ?
Использовать pkcs15 не принципиально, если возможно сгенерировать внутри токена секретный ключ и сохранить его через файл с помощью интерфейса pkcs11, то тоже подойдет.

Заранее благодарен.