只能说你在以最大的善意在考虑攻击者。

比如，银行为什么要用软键盘或者ActiveX来输入密码？如果客户机中了木马导致密码泄漏，损失关银行什么事情？银行完全可以正一眼闭一眼，苦果交给用户吞。可是银行还吃饱了撑的去搞什么数字证书，还有硬件证书。证书恢复不仅仅还要密码，居然还要回答问题，还要短信确认。这不是给客户找麻烦嘛。为什么银行要这么干呢？