А откуда сертификат? Случайно не самостоятельно сгенерированный? И если самостоятельно, то каким образом?

Можно попробовать так:

openssl req -new -newkey rsa:4096 -x509 -days 3650 -nodes -out ca.crt -keyout ca.key

Тогда на выходе будет .crt сертификат вместо .pem. Но я думаю это не является проблемой

Отмечу: я не уверен что такой сертификат подходит для того что бы нормально выступать в качестве корневого. И честно говоря не стал бы советовать использовать именно этот способ, т.к. этой команды недостаточно для создания полноценного корневого сертификата. Желательно еще:
1. Через конфиг для openssl правильно его настроить и указать расширения (extensions) для этого сертификата (ну и вообще нужно генерировать этот сертификат совсем не так... )
2. Подписать его самим собой и закопать на глубину 10 метров где-нибудь в лесу, что бы ни какая подозрительная личность его не нашла
3. Создать промежуточный сертификат, который подписать корневым, а уже промежуточным подписывать остальные

Тема довольно обширна и не проста. Я сам как раз задумался о создании своего центра сертификации для личных нужд и только начинаю разбираться в деталях.

banbot, да, весело...