https://vk.com/topic-29466876_46098183?offset=60 КриптоАРМ , проблему решил. Всё оказалось проще и проблема решилась. Я не понимаю, почему вдруг CRL должен иметь текущее время, у него время выпуска и периодичность. Но в настройках OCSP есть такой пункт Substitute CRL last update time for current time (Заменить время последнего обновления СОС на текущее). Эта настройка помогла, но почему у CRL должно быть текущее время? Это против любой логики. С такой настройкой, однако, усовершенствованная подпись в КриптоАРМ работает. С режимом работы БД ЦР - усовершенствованная подпись также работает нормально. Режим БД ЦС в OCSP не настраивается никак вообще, более того, в документации по OCSP у КриптоПро нет описания этого режима вообще.