Cryptlib: Apply the less strict CA check

Since openssl < 1.1.0 didn't check the x509 v3 extension strictly, a CA
certificate without the CA flag in the basic constraints or KeyCertSign
in the key usage was still loaded to verify EFI images.

We relax the check for now. In the future, the workaround should be
removed.

Signed-off-by: Gary Lin <glin@suse.com>