MENUINFOのdwStyleにMNS_DRAGDROPを設定して、SetMenuInfoを呼び出すと、ユーザがドラッグするとWM_MENUDRAGが送られてくるので普通にOLE DnDすれば良いようです。ドロップされる側は、IDropTargetを実装して、WM_MENUGETOBJECTが送られてきたときに返してあげれば良さそうな感じです。
MENUINFOを見ると、MNS_AUTODISMISSとかMNS_MODELESSとか面白そうなのがありますね。
デバッグビルドを作って調べて見たところ、そもそもの原因はCAの証明書ストアにある事がわかりました。ca.pemはWindowsの証明書ストアからエクスポートして作っているのですが、なぜかThawte Server CAの証明書は自己署名されたものとRoot SGC Authorityに署名されたものの両方が入っています。そしてRoot SGC Authorityの証明書は入っていない（さらに期限も切れている）ため、エラーになっていました。
しかし、LinuxやCygwinでは問題ないのに、なぜWindowsだけ問題がでるのかは謎です。
とりあえず、サンプルのca.pemは作り直してダウンロード可能にしておきました。