D>Сертификат походу точно такой же. Наверное у меня уже "подкачалось", что нужно, проверю позже на чистой семерке, спасибо за информацию.

судя вот по этой статье, винда обновляет свой список корневых сертификатов раз в неделю.

The Windows Root Certificate Program enables trusted root certificates to be distributed automatically in Windows. Usually, a client computer polls root certificate updates one time a week. After you apply this update, the client computer can receive urgent root certificate updates within 24 hours.

так что если комп в сети, то сертификаты там будут. если он без апдейтов по какой-то причине, то имеет смысл подписать sha-1/sha-256, чтобы винда была счастлива. если апдейты есть, то хватит и одного sha-256.

посмотрел софт, установленный на рабочем компе: почти у всех только sha1 пока. исключения: гугл хром и майкрософтовские программы — там sha-1/sha-256. думаю сделать обе подписи будет на данном этапе правильнее.