CA认证系统的设计思路

哪位大佬帮我看看,我这个思路对不对???

根CA不做任何连接,仅用来保存私钥,保证该证书链的信任体系,而子ca用来执行证书的一系列操作,RA系统则是来面向用户进行最终操作;

用户申请证书,

发送到RA系统(RA系统可以进行证书的签发,吊销,查询,更新),

管理员审核,

审核通过后向子CA发送证书签发请求,

子CA签发并返回证书,

RA系统将证书和用户的个人信息写入USB KEY (该USBKEY 信息不可篡改,复制,删除)中,

用户访问网站,网站做了双向认证,提示用户插入USBKEY,

用户插入USBKEY,进行CA认证,

此时通过第一项认证,进入登陆页面,输入账号密码,进行第二项认证,与用户表进行比对,再与USBKEY信息进行比对,比对成功,用户成功登陆系统.