Сертификат ВМ это тот же файл ключей для кепера, тоесть обычная дополнительная степень защиты.

Идет всё как в хттп, цифровая подпись ничего кроме алгоритма авторизации или сертификации ресурса не дает.

То есть например если у меня два сертификата от одного сайта (тот же вм), то меня никак попалить нельзя, что их два? Анализ jsом браузера там итд например?

Нет, там задействуется только один сертификат с вмид которого ты хочешь зайти, информацию о других сертификатах пусть даже если один сайт - не передается.

Кстати, в кепер классик тоже используется сертификат подлинности который устанавливается уже в корень системы. Это необходимо для защиты от фейковых версий программы.