Het idee achter zo'n token-ding is dat je wat moet weten (je password om in te loggen) en wat moet hebben (token). Hetzelfde idee als je PIN en de pas waar die bij hoort. Dat token is uniek voor jou. Dat 'uniek' maken kan op een aantal manieren. Verder voeren vrijwel alle tokens een vorm van versleuteling / hashing uit op de aangeboden data. Ergens wordt er 'jouw geheime nummer' bij betrokken om het voor 'anderen' onmogelijk te maken om dezelfde bewerking te doen. Het heeft dus - in deze context niet zo heel veel met browser hacking ofzo te maken, behalve dat 'meekijken' een password bloot legt. Een manier om een token uniek te maken is je bankpas erin stoppen. Alle tokens zijn voor die bank dus gelijk, het 'geheim' staat op je bankpas (en het zou zelfs kunnen dat de bankpas ook de bewerking doet - token is dan alleen een stel knopjes en een display om met je bankpas te communiceren). Dat heeft voor de bank vooral een logistiek voordeel: als je token stuk is, kun je die van de buren pakken en men hoeft ...