Ty cross-signed certifikáty ničemu nevadí – postup ověření by měl být takový, že postupuju po stromu certifikátů, a když narazím na první, u kterého mám informaci „důvěřovat“ nebo „nedůvěřovat“, zařídím se podle ní. To že to má Mozilla implementované špatně na postupu nic nemění, holt tu chybu budou muset konečně opravit.
Odkazovaný dokument mluví o použití technologie OneCRL, která už v Mozille nějakou dobu je a umožňuje právě snadnou revokaci mezilehlých certifikátů.