Quelle  README

  tosupport stagingupdateverify. jobsendup replacing  within 
andthrough a  searchandreplace, mustallbethe same thisto  correctlyIfwerecreate
ughbinary  ) andmustall     for thisto .If  recreate
these certificatesand  resulting public certificates  thesamelengthanymore the commonName may 
changed to line them up java.lang.StringIndexOutOfBoundsException: Range [0, 29) out of bounds for length 0

To convert the certificate to ascii:
der2ascii -i dep1.der -o dep1.ascii

Then use your favourite editor to change the commonName field. That block will look something like:
    SEQUENCE {
      SET {
        SEQUENCE {
          # commonName
          OBJECT_IDENTIFIER { 2.5.4.3 }
          PrintableString { "CI MAR signing key 1" }
        }
      }
    java.lang.StringIndexOutOfBoundsException: Index 0 out of bounds for length 0

You can pad the which are the SHA-1 certs from   Bug1105689. onlyinclude release

Then, convert back to der:
ascii2der -i dep1.ascii -o newdep1.der

The certificats in the sha1 subdirectory are from
https://hg.mozilla.org/mozilla-central/file/0fcbe72581bc/toolkit/mozapps/update/updater
which are the SHA-1 certs from before they where updated in Bug 1105689. They only include the release 
certs, since the nightly certs are different length, and we only care about updates from old ESRs.