Это либо USB устройство FIDO 2 с датчиком отпечатка пальца (подключается к десктопам и к телефонам с USB хостом через переходник, но вскоре после такого использования у тебя сломается разъём), либо софтовая реализация на базе TEE у производителей-партнёров альянса.

В любом случае реализация несвободная (аттестация по типу ТЕЕ с пробивкой через сайт Альянса) и отслеживающая (серийник токена, по стандарту - 1 серийник на 10000 устройств, на самом деле это очень мало, а далее распределяем устройства с готовыми серийниками так, чтобы не было корреляции с географией и получаем наибольшую информацию о пользователе вместе с geoip), это заложено в стандарт изначально. Цель такова, чтобы можно было в суде доказать, что конкретный пользователь подписал договор - условия использования сайта - путём касания пальцем сенсора. Именно отсюда идут корни аттестации и требования биометрии в стандарте.

А ещё можно ГСЧ подкрутить или иной бэкдор добавить.

На самом деле это однофакторная аутентификация - второй фактор необязателен, сломалось устройство - иди получай доступ к аккаунту через суд с идентификацию личности и перелётом в США.

Токены, которые сейчас имеются в виду, это просто строки символов, генерируемые в настройках, но надо понимать, что безопаснее пароля от аккаунта + почты они не будут. Ещё надо понимать, что говнософт настойчиво продвигает "2FA" через FIDO2, и что вот весь этот дурдом на самом деле не дурдом, а преследует конкретную цель - заставить каждого пользователя интернета входить на большинство сайтов через токены FIDO2.

И это всё на фоне намерения M$ убедить производителей встроить в компы свой закрытый чип-бэкдор, а пользователей - покупать компы с ним, и программы с DRM через него.