Хм. А в команде x509 поддержка uri в -in -signkey -CA и -CAkey есть. Так что проверять время устаревания сертификата на токене одной командой - можно. Надо будет поиграться. А вот в genpkey что-то я этого не увидел.