> Ты действительно считаешь, что точно такой-же отпечаток нужно будет заново подписывать?

А причем здесь отпечаток? Для X.509 проверка сертификата, выданного CA, как и любого подписанного документа,  состоит в дешифровке подписи открытым ключем CA.
И далее сравнения а) самостоятельно вычисленной хеш-суммы и б) полученной из сертификата/документа.
# openssl x509 -in some.crt -text | grep Sign
    Signature Algorithm: sha1WithRSAEncryption  <-- RSA encription
Так что таки да, надо еще частный ключ CA иметь. Но тогда смысл в маневрах?

RTFM.

Для не-X509 систем и без этого хватает рисков.
И вообще, для всего иных рисков так дохрена, что ...
И вкладывать год вычислений продвинутого дата центра там где можно обойтись 20 тыс подкупа и 1 день как-то несеръезно.

Google пиарится.