Подскажите, ПАК «КриптоПро OCSP» из состава ПАК «Службы УЦ», сертификат соответствия на который появится в ближайшее время, допускается подключать к сетям общего пользования?
В формуляре сказано: "Подключение ПАК «Службы УЦ» к сетям общего пользования для обеспечения транспортного канала должно осуществляться с использованием устройств, обеспечивающих уровень криптографической защиты не ниже KB2, либо посредством реализации дополнительных технических и организационных мер, адекватных конкретизированной модели нарушителя, разработанной на основе типовой модели нарушителя ФСБ России к удостоверяющим центрам;"
OCSP работает по протоколу http без шифрования передаваемой информации.
Получается OCSP можно использовать только в корпоративной сети, не имеющей выхода в интернет?

1) А возможен ли такой вариант: размещаем в корпоративной сети сервер, опубликованный в интернет (например, через NAT), который пересылает все запросы на OCSP-сервер, подключенный к корпоративной сети через сертифицированный МЭ ?
2) То есть каждого клиента OCSP обеспечить устройством уровня КВ2. Слишком дороговато и неудобно будет...
3) При использовании http без шифрования, полагаю, нельзя указывать какой-либо уровень криптографической защиты.

Для доступа к OCSP-серверу использовать https несколько бессмыслено. Ибо для https клиенту необходимо установить статус сертификата OCSP-сервера. А я и ибу к OCSP-серверу, что бы установить статус сертификата :-) К тому же между OCSP-сервером и клиентом не передаётся никакая конфиденциальная информация. Только открытая! Зачем тогда http с шифрованием?!

Самое простое: Разработать модель нарушителя в которой указать, что нарушитель не может быть выше какого-либо уровня (например, КС2). Её не нужно согласовывать с ФСБ. Если будет несовпадение мнения проверяющих с Вашим мнением, то это повод для дискуссии, а не для оргвыводов и наказания.