Die Zertifikate werden nicht über die Applikation verteilt sondern schon vorher - sonnst wäre das ganze Prozedere ja Sinnlos.
Die Zertifikate dienen dazu den Client zu identifizieren - welcher Sinn hätte solch ein Zertifikat, wenn der Server es sowieso jedem Client schickt?
Die Zertifikate musst du vor dem Connect über einen Sicheren Weg zum Client bringen - am besten physisch auf einem Datenträger. Jegliche elektronische Variante über das Internet könnte die Sicherheit kompromitieren. Verschlüsselte E-Mails sind erlaubt solange sie z.B. mit GPG verschlüsselt und entschlüsselt werden.