PKI. CA шифрует своим закрытым ключом или же открытом?
Сертификат не шифруются. Там нет секретной информации. Сертификат содержит публичный ключ и некоторые другие открытые параметры. Сертификат подписывается секретным ключом ЦА, для проверки подписи используется публичный ключ ЦА.
ЭЦП всегда делается на секретном ключе, так что здесь нет какого-то отступления от правил.
Сертификат ничем не шифруется. Сертификат - это защищенный от изменения и открытый для чтения контейнер, содержащий некую информацию, подлинность которой проверена и подписана выдавшим его Удостоверяющим Центром. 
Да-да, вся подлинность держится только на авторитете CA, больше ни на чем. 
Если же Вы запросили формирование PKCS#12 и опасаетесь, что находящийся там ключ сертификата ушел налево (вполне обоснованно, кстати) - не стоит доверять генерацию СA. Обычно в CA передают только запрос (CSR), ключа у него нет, а без ключа он навредить не может.