Maximus43

Честно говоря, я так и не понял суть. :-)
Понял, что вы собираетесь создать корневой ЦС в режиме Off-line root. Потом вы создаете промежуточный ЦС, подписанный корневым, и этим ЦС будете подписывать сертификаты конечных устройств. Или вы просто загрузите сертификат (публичный ключ) промежуточного ЦС на свои устройства, чтобы они, видимо, проверяли сертификаты конечных пользователей.
А вот дальше я совсем ничего не понял. Кто должен подписывать сертификаты? Сертификаты для кого? Что значит предыдущий УЦ?

У нас есть специально обученный человек, в должности офицера по безопасности (Security Officer), который регулярно проходит по рабочим местам и смотрит на незакрытые сессии, пароли на бумажках и т.д. Если найдет компьютер без надзора с отрытым доступом или бумажки с паролями, то он открывает почту с компьютера сотрудника и пишет что-либо от его имени. На первый раз это может быть рассылка всем сотрудникам сообщения типа: «Я самый крутой, а вы все лохи». Типа шутка такая, но действует на 99%. Если же человек попался во второй раз (у нас было всего один раз), то безопасник пишет с компьютера сотрудника письмо в отдел кадров с просьбой перенести отпуск на конец ноября. Третьего раза у нас не было. :-)

1. Никак. Обращение к смарт-карте идет через API, который предоставляет драйвер. Если вредоносное ПО перехватило PIN, то оно с таким же успехом может производить операции со смарт-картой через API. Все можно реализовать в фоне.
2. Никак. Смарт-карта не знает, правильный документ или нет. Ей передают хеш документа, она шифрует его своим закрытым ключом и отдает результат обратно. Если передать хеш левого документа, то смарт-карта его без дополнительных вопросов зашифрует.
Вывод: плюс смарт-карты только в том, что из нее нельзя извлечь закрытый ключ (если все правильно настроено) и в том, что когда ее нет в ридере, то подписать ничего не возможно физически. А если рабочая среда скомпрометирована и у вредоносной программы есть PIN и доступ к API, то тут уж как говорится: «Против лома нет приема».
Все сказанное касается обычных смарт-карт, для Java карт можно добавить аплет с хитрой логикой, тогда просто API может быть недостаточно для подписания. Это вариант защиты, но требует дополнительных действий со стороны разработчиков и со стороны клиентского ПО.