CityCat4

Возможно, яндекс просрпал сертификат и он кончился, ну в смысле устарел...

есть подозрение, что на ПК могли подменить корневой сертификат

Ну так идете в хранилище корневых сертификатов и просматриваете все, пытаясь найти тот, который поставил злоумышленник. Гугл тут при чем? У него явно больше одного сервера, а у каждого сервера свой сертфиикат.

как мне тогда гарантированно убедится, что сертификат валиден?

Валидность сертификата - это проверка факта, что данный сертификат выпущен одним из CA, которые размещены в хранилище доверенных корневых сертификатов (ну еще проверка срока действия). И все.

ведь Public Key у нас есть, а значит мы можем изменить данные, подписать их и отправить на сервер

Не-а, нифига мы не можем так сделать :) Для подписи нужен свой личный ключ. Общим ключом подпись можно только проверить. В этом и смысл ассмметричной криптографии - подписываешь своим личным, другой чел проверяет твоим общим. Обладание общим ключом не дает ничего. Настолько ничего, что его в почте прикрепляют к каждому письму :)
Если что-то изменить в тексте - подпись не сойдется.
А цепочка сертификатов издателя нужна чтобы проверить сертификат, который ты пытаешься проверить, потому что в общем случае у тебя корневых сертификатов издателя может и не быть (корпоративные СA, например)

У кого и когда был получен сертификат? Проверьте также домен, который указан в CN сертификата.

За сертификаты отвечают админы соответствующих сайтов, Вы все равно ничего не сделаете :) Ну можно только написать туда, что ребята - вы чайники :)
Это разумеется, если сертификат просто просрочен. Если же там другая ошибка - лучше его не обходить.

https пал жертвой политических разборок государства vs корпорации

Отредактировать сертификат нельзя.

Посмотреть издателя сертификата, найти его сертификат, посмотреть его издателя, найти его сертификат и так до тех пор, пока издатель не будет сам собой. Потом все найденные сертификаты (кроме своего) пихаем в доверенные корневые центры.

Пример.
Есть CA c CN=Zhopa and Ruchka Ltd., которое имеет субCA с CN=Ushi and Lapy and Hvost Ltd., которое имеет субCA c СN=Paradise Birds LLC, которое выдает Вам сертификат.
- Ищем сертификат Paradise Birds LLC, видим, что издателем является Ushi and Lapy and Hvost Ltd
- Ищем сертификат Ushi and Lapy and Hvost Ltd, видим, что издателем является Zhopa and Ruchka Ltd
- Ищем сертификат Zhopa and Ruchka Ltd, видим, что издатель есть он сам, значит это корневой.

Все найденные сертификаты помещаем в доверенные. По идее в доверенные достаточно поместить сертификат Zhopa and Ruchka Ltd, и когда поиск дойдет до него и увидит, что он доверенный, то все должно быть хорошо, но это больше для страховки.

Создавать CSR на том компе, где будет стоять сертификат, чтобы не таскать ключ туда-сюда - вот true путь.

не проходят даже openssl_x509_check_private_key

Наверное потому что они отсутствуют в хранилище доверенных, не?

Изучить вопрос глубже и разобраться:
- либо какое хранилище корневых сертификатов используется в данном фрагменте кода (вовсе не факт, что то место, куда Вы кладете - используется в качестве хранилища корневых сертификатов, кроме того, не нужно забывать делать линки)
- либо как отключить проверку валидности (заставить принимать любой сертификат). Это конечно так себе решение, в прод такое нельзя, но для тестирования, чтобы не тормозить на этом месте пойдет.

Никак. И незачем.

Сертификаты - не нубская тема и никогда ею не будет. Любая железка умеет самоподписанный генерить - нафиг не нужно на нее ставить генереный - это только гемору добавляет и свитч повесить может. Да и процедура установки сертификата на разные свитчи сииильно друг от друга отличается.

Ставить генереные сертификаты - это разве что от желаения ходить на железки по красивому имени "switch1-1-1.zhopa.ruchka", а не по адресу - в противном случае смысла нет. А для красоты - все свитчи сначала в DNS нужно занести, поддерживать его. Да, этим можно заняться, если нечем больше

Первый вопрос - каким образом выпускаются данные сертфиикаты - централизованно или как? Если централизованно, то через оснастку Windows или сторонними средствами?
(Вопрос не праздный, а относящийся к теме проверки валидности сертификата)

Ну, я бы начал с поиска - нет ли у самого криптопро такого решения. Средства централизованной выдачи сертификатов в винде есть - это доменная оснастка Управление сертификатами, но это именно внутренний CA, а не внешний.
Придется наверное лабать что-то на vbs/ps потом запускать через политики при входе юзера

Хех, я так пронял, Вы схитропопить решили и подсунуть в CA обычный сертификат от комода, в расчете на то, что примет и можно будет выпускать сертификаты, в итоге подписанные комодом?
Не, так не пойдет. Сертификаты CA - имеют специальную пометочку "я CA", которую комод Вам никогда не поставит.
Вам нужно свой сертификат сгенерить, но он разумеется будет валидным только внутри Вашей конторы и то при условии распространения его политиками.