Здравствуйте, -prus-, Вы писали:

P>...
P>Подскажите, что может быть не так?

По описанию похоже на то, что используется неправильный кросс-сертификат.
Хотя почему тогда signtool verify /kp молчит ?..

Посмотри в свойствах обоих сертификатов, — корневого (именно корневого!) и
кросс-сертификата, — их поля subject identifier, насколько я помню, должны совпадать.