La mayoría de los certificados se actualizan a través del mecanismo de actualización disponible para el sistema. No puede estar seguro de que los certificados que se instalan con el navegador no se utilizan efectivamente para mitm. Por otro lado, podría escribir un pequeño script que use el modo de cliente openssl para recuperar los certificados x509 de objetivos basados en SSL y desde allí hacer una comparación con la firma del sitio entrante.
Esto no se escala muy bien sin embargo. También es posible que tenga en cuenta que, al menos en macosx, existe el cliente ocsp que también funciona para revocar certificados x509. El problema es tal que, una vez que haya instalado un certificado raíz no autorizado en su sistema, casi todo se puede falsificar, lo que incluye la descarga de cualquier solución a través de https. En el peor de los casos, puede descargar, al menos para Firefox, el conjunto de certificados que se instalan en el navegador y realizar una prueba rápida de corroboración. Pero sobre el mismo sistema roto? Arranque en un livecd, posiblemente ubuntu, y haga las descargas de esa manera.
Por favor, abrace a su pobre administrador de sistemas que tiene que confirmar si sus certificados están en orden.