1) в web.config ты референсишь внешние сборки, а publicKeyToken - это маркер открытого ключа, которым подписана эта сборка, т.е. это просто хеш ключа.
2) <machineKey> нужен, если ты энкриптишь данные, asp.net юзает этот раздел, чтобы заэнкриптить аутентификационные куки или если ты выставишь шифрование вьюстейтов. Вообще-то, насколько я знаю, рекомендуется использовать автоматически генерируемые ключи, а тот случай, о котором пишешь ты, используется только тогда, когда application хостится на нескольких серверах. в таком случае возникают понятные проблемы
генерировать их нужно c использованием классов из System.Security.Cryptography.
