именно такой - доверия _конкретному_ключу_, для конкретного домена, а не какому-то там "CA". Который может оставаться как средство валидации, однократной и только одно из возможных (а так - хоть на билбордах размещай код сертификата. Для банка какого - вполне приличествующий вариант), с не самой высокой степенью доверия. Но такой CA гуглю не нужен, как ему при этом вас продать? ;-)

> ssh при первом запуске просит проверить отпечаток ключа

и как, часто бежишь с дискеткой проверять, или сравниваешь аскиграфику?
И как, поломали тебя уже?

> или опять из публичной адресной книги, которая мало чем отличается от CA

она отличается радикальнейше. Но если вам и теперь не понятно, или вы вместе с другим анонимом наивно думаете что ssh ключами ходят только на свой локалхост - боюсь, я не настроен тратить на вас дальше время.