chrome 45 之后的支付宝事件问几个问题

1.登录使用控件是否是央行的强制法规政策？
2.关于支付宝的安全证书控件

了解了一些资料，所谓的安全证书控件就是在本机安装一个证书（这个操作 js 也可以完成），使用控件的目的是本地安装一个“受信任的证书颁发机构”。
其次是安装证书后使用时浏览器会弹出选择本地证书（会有一个列表）而这个列表小白看不懂，也不知道选哪个，尤其是在本机安装多个证书的时候，甚至是多个支付宝的用户证书。

以上是一般的双向验证流程。支付宝的安全证书控件是类似的吗？还是只是跳过选择过程直接选择当前登录的用户的本地证书然后加密密码再传到服务器上呢？还是同时需要获取本机设备 id 什么的？

3.本地安装的证书文件是否可以通过程序（木马）自动导出？不需要强制用户手动授权？