А разве срок действия серта может быть дольше срока действия подптсываюшего центра? Или только у виндового ца так?
На самом деле, можно. Но тут включается старый принцип: "вассал моего вассала - не мой вассал". Если не отслеживать рута, то конечный сертификат можно выпустить, ориентируясь на срок интермедиэйта. Тут чуваки явно мониторинг настроили хреново...