IMHO

Но по факту там URL, ведущий на сайт госуслуг, который и показывает сертификат. Подставить свой URL, генерирующий "похожую картинку", можно, но URL-то будет уже другой, придётся мухлевать. Ну там, gosusllugi вместо gosuslugi, или "о" сделать кириллицей. Для человека такое может и прокатить, но если верифицируется ещё и сам URL программно - уже не прокатит. Более того, если верифицирующий дивайс к примеру парсит URL, выцепляя из него номер сертификата, а потом сам пробивает его по базе, подделка точно не сработает.