Госуслуги это:
1. Вообще другой (собственный) плагин;
2. NPAPI-only плугин, который не работает в более-менее "свежих" FF/Chrome/Opera.

P.S. Предел для NPAPI - FF 52 ESR.
Обновления 52esr будут до конца грядущего лета. Куды дальше бечь крестьянину - непонятно.

"Вы задаёте сразу три вопроса - мне одному ответить трудновато" (ц) Труфальдино из Бергамо.
1. Госуслуги "вход с помощью электронных средств" использует древний (2014 года) NPAPI-only плагин Ростелекома. ЭЦП-плагин КриптоПро там не требуется и не используется;
2. Я не собираюсь обсуждать, что и когда обновилось в вашей системе. Хочется предсказуемости работы FF - используйте ERR-выпуски. Dixi;
3. У КриптоПро есть два браузера с поддержкой ГОСТ-шифрования: firefox и chromium-gost. Оперативно обновляется только второй. Последняя сборка ГОСТ-FF - 45esr на основе выпуска не старше 45.1.2;
Проверки на сайте налоговой требуют IE, но существуют прямые ссылки, позволяющие сразу начать работу с личным кабинетом. Поддержка ГОСТ-шифрования - обязательна, IE - не требуется.
Доступен для non-IE браузеров весь функционал личных кабинетов налоговой или есть ограничения - не знаю.
4. ЭЦП-плагин позволяет упростить работу с CSP на стороне сервера и, по этой причине, он востребован.

Резюмирую.
С поддержкой ГОСТ-шифрования (и на клиентской и на серверной сторонах) есть вполне реальные проблемы. Это факт.
Или вы принимаете этот факт и минимизируете риски возникновения проблем, отказавшись от "я так привык" или вы общаетесь с техподдержкой конкретного сайта. Не на форуме разработчика CSP, а с техподдержкой сайта, на котором у вас возникли проблемы.

Стандартная рекомендация для проблем с сертификатами - установить всю цепочку, включая сертификаты промежуточных УЦ (эти - в хранилище сторонних корневых) и ещё не забыть про списки отзыва.
Учитывая, что миграцию аккредитованных УЦ "под ГУЦ" закончена, то основной цепочкой будет: ГУЦ -> аккредитованный УЦ -> квалифицированный сертификат. Раньше основной цепочкой была: сертификат УЦ -> (квалифицированный) сертификат.
После первоначальной установки в винде начнёт работать штатный механизм обновления списков отзыва, если его не отключили (не сломали).

При ошибке сертификата веб-сервера - попробуйте установить http://www.gnivc.ru/html/uc/gnivc-2016.crt в Промежуточные ЦС.

Ура! Сработало :) Вы знаете, а тех.поддержка nalog.ru не знает, только и могут ссылки на инструкции кидать, в которых все равно ответа нет.

basid

Ну, вот человек выше - экстрасенс.