Вы правы. Но ведь перед нами - именно рядовой пользователь. И нет у нас всех полугода, чтобы её натаскивать на понимание, что такое вообще этот сертификат и признаком чего он может быть и еще сотни деталей.

Представим себе self-signed cert

Если это делать массово - пойдет шум. Но желать это на всю Украину никто не будет, мощность MITM-фермы нужны будут огромные.

А для адресной подмены против нескольких выбранных чайников, ну выскочить у них предупреждения - спишут на тёмные силы электричества и не читая нажмут ОК

Ну а если предположить, что Гугл сотрудничает со спецслужбами напрямую, так и вообще швах.