можно где нибудь посмотреть как идет подпись?
в примерах в SDK. Можете также погуглить примеры для OpenSSL.
подпись должна быть detached?
Это зависит от требований к Вашей системе. Наш криптопровайдер поддерживает подпись как с вложенными данными, так и отсоединенную подпись (detached).
где брать метку времени?
Вопрос не совсем корректен. Сервис метки времени
tsp.pki.gov.kz
Примеры формирования запроса можете найти в интернете. Все также как для OpenSSL.
что на выходе файл(какой, что в нем должно быть) xml куда записывать подпись? формат подписи pcks7 или CMS?
Если у Вас исходные данные в формате XML, то лучше подписать тоже в формате XML. Остальные форматы можете подписать в CMS. Либо опять таки упаковать в XML и подписать XML. Т.е. это вопросы к Вашим менеджерам или тем. кто ставит перед Вами ТЗ.