Как мы зашифровали net/rpc

Мы храним сертификаты на физическом токене. Чего и вам желаем.

Вот это грамотное решение, ведь преимущества использования токенов в подавляющем большинстве случаев перевешивают их недостатки.

Секретные ключи для сертификатов верхних уровней во внутренней иерархии PKI в организации вообще не должны покидать защищенных носителей (и подпись дочерних сертификатов тоже должна выполняться внутри самого криптоустройства).