Сертификат встроен в контейнер PKCS # 12. Только центр сертификации, выдавший сертификат, может законно изменить подпись, чего он не может / не имеет.
Как вы видите в своем вопросе, pbeWithSHA1And3-KeyTripleDES-CBC предназначен для зашифрованных данных PKCS # 7, которые - это защищенный пакет , содержащий ваш неизмененный сертификат SHA256WithRSAEncryption.