Кот Абсолютный

Если программа сама может поставить сертификат - поставить через программу. Многие программы капризны и желают видеть сертификат только на карте памяти или только в определенном каталоге (а иногда и то и другое). Если программа сама не умеет ставить сертификаты - ну значит сертификат кривой. Если ключа в нем нет - выложите его куда-нибудь.

Если брать чистый IPSec, то клиентов - фиг да маленько. Есть стандартный клиент, встроенный в Андроид, Есть Strongswan. Есть TheGreenBow - платный, ломаного нет даже на 4PDA (если есть - буду очень рад ссылке в мыло). Есть клиенты, работающие только с специфичным железом - NCP, например.
С микротиком, например, запустить не удалось ни одного. С линухом (strongswan) клиент от strongswan заработал. Да, аутентификация всюду по сертификатам, по PSK может будет работать, не проверял.

Тем же, чем права root/Administrator на винде или линухе, или самый обычный нож - им можно порезать колбасу, а можно убить человека. Если Вы имеете обыкновение ставить все самое новое, да побольше, на платить через Сеть, да еще по NFC, да банковские карты привязывать и играть в непонятно откуда поставленные игрухи - ну тогда плакали Ваши пароли и денежки. Если же вдумчиво относиться к установке программ, привязать (если уж так надо) виртуальную карту, где денег нет и не платить никуда с телефона - то пофиг. Люди рутуют телефоны и в том числе чтобы избавиться от гугловских зондов.