OpenSSL: подписать корневой сертифкат?
Что-то вы путаете. Если новый «корневой» сертификат подписать старым корневым сертификатом, то это будет обычный промежуточный сертификат. Ничего этим вы не выиграете. Срок действия изданных сертификатов не может быть больше, чем сертификат подписанта.
Корневой сертификат можно переиздать со старым ключом, тогда у нового корневого сертификата будет такой же AKI (Authority Key Identifier), что и у старого. Это позволит использовать новый корневой сертификат для подписи новых сертификатов, которые будут валидны со старым корневым сертификатом.
Уточните, что конкретно вы хотите?
Теоретически:
1. Генерируем новый секретный ключ
2. Создаём запрос на сертификат
3. Геннерируем новый сертификат, используя старый сертификат, старый ключ и запрос нового сертификата.
Практически — не уверен, что всё будет хорошо с истекшим сертификатом.