Насколько я понял, система работает так, что она постоянно проверяет все возможные сертификаты, пока не найдёт лично доверенный. Поправьте, потому что от этого я строю теорию.

Имея один ключ, который нам нужно проверить, мы должны пробежаться по огромному количеству клиентов, чтобы добежать до своего сертификата. Каждый клиент имеет в свою очередь тоже кучу подписей, и в итоге мы получаем дерево, которое растёт в неприлично быстрых масштабах. Для этого нужно а) много ресурсов б) много памяти. В самом алгоритме недочётов нету, согласен, но мне кажется такая огромная база сертификатов просто бессмысленна на текущий момент времени. На клиентском уровне нужно ограничивать глубину погружения доверия, т.к. это не целесообразно на текущих железках да и просто выглядит утопично, поскольку чем дальше от личного уровня доверия мы отходим, тем меньше качество проверки. Стопяцотый в цепочке Миша может быть реально отбитым и подписывать чё угодно, не спрашивайте, как его ключ подписали, и он может реально подписать своим ключём какого-нибудь Петю с его фирменным .exe, и смысл в такой жёсткой проверке так удалённых людей просто отпадает. Это нужно учитывать при использовании ключей сертификации и банально не засорять всякий шлак, ручное управление тут определённо необходимо. Для менее значимых целей, таких как скачать с гитхаба исходники, вам хватит и проверки исходников на вшивость, ну вы же взрослый человек, сами знаете, куда не надо пальцы совать.