Supponiamo che un certificato X.509 sia firmato da un certificato intermedio che non è nel tuo browser. Forse il certificato di root è ma non il cert intermedio. A quel punto sembra che possa esistere un percorso di certificazione valido anche se il tuo browser non ne è a conoscenza e suppongo che saresti solo S.O.L?
Sembra che forse ci dovrebbe essere un'estensione che dice dove è possibile ottenere il certificato dell'emittente (supponendo che non sia il certificato di root) proprio come esistono estensioni per gli elenchi di revoche di certificati che indicano dove possono essere ottenuti.