Вот хороший пример как это делает гугл, причем с исходным кодом https://github.com/google/omaha/tree/master/common/certificate_tag
Мы используем слегка модифицированную версию их реализации, все работает отлично. Удачи.