А как гарантировать не-подмену? RevokedKeys это все-таки не X509 CRL и подписи CA под ним нету.

То есть идея использования парочки cron+anacron для обновления, вероятно, правильная. Но этого недостаточно. Нужно еще придумать как целостность обеспечить.