Как пишуи
AT_SIGNATURE используют для подписи
AT_KEYEXCHANGE - для шифрования
А если мне надо шифровать и подписывать данные?
Для этого надо создавать два сертификата?

Но при флаге CRYPT_EXPORTABLE для ключевых пар это означает , что секретный ключ нельзя экспортировать из CSP.
При получении сертификата создаю ссылку на секретный ключь, но при попытке создания PKCS#12 секрентный ключ не экспортируеться вместе с сертификатом.
Подключение privart key к сертификату, CryptoApi

AT_KEYEXCHANGE может использоваться и для цифровой подписи и для шифрования пакетов, а AT_SIGNATURE только для цифровой

зачем их ввели? потому что раньше (до 2000 года) были ограничения на экспорт криптографии из США и нельзя было исполльзовать сильные ключи для шифрования а для подписи можно было, поэтому ключ AT_KEYEXCHANGE не мог быть больше 512 бит а ключ AT_SIGNATURE мог быть любой, но они и дальше решили оставить это разделение, но сейчас уже нет ограничений посему надо сразу делать AT_KEYEXCHANGE