¿Por qué el comando verify de la herramienta SignTool de Microsoft devuelve un error al verificar un programa firmado?

SignTool Error: A certificate chain processed, 
but terminated in a rootcertificate which is not trusted by the trust provider.
Number of errors: 1

En este caso se ha adquirido un certificado de firma de código estándar, no EV. De forma predeterminada, verify de Microsoft SignTool utiliza la verificación de firmas de controladores (que requiere un certificado EV), por lo que ejecutar Verify directamente falla. Debe añadirse el parámetro /pa.

La documentación de Microsoft lo explica aquí: Documentación de Microsoft.

Ejemplo de comando: signtool verify /v /pa datestrl.exe