Ну и да, то что они рекомендуют - это fido. т.е. такой охрененно-аппаратный токен, который заодно подсматривает и комунада сообщает куда ты ходишь (и нет, ты не можешь сделать свой- рыльцем не вышел).

Во первых - можешь, делали уже люди свои U2F токены, правда они говенные выходят. Во вторых, "стучать" железные токены не могут, но чисто теоретически если использовать один токен на разных сервисах то может быть можно вычислить что пользователь А тут и пользователь Б там - один и тот же.
Вот только ничто не мешает тебе завести парочку токенов и не использовать один везде.

Что до Windows Hello, то его моно использовать, да, но те кто его пользуют и вообще логинятся мордой лица - ну с этими людьми уже бесполезно говорить. Они мордой и в метро\магазине платить будут (Сбер уже предлагает платить улыбкой в камеру) и в ЕБС сами зарегаются, для них цифровой эксгибиоционизм это норма.