Time-based OTP - удобная штука. Но, почему-то, всегда используется только в качестве второго фактора аутентификации.
Есть ли какие-нибудь предпосылки не использовать одноразовые пароли, основанные на времени, в качестве первого и единственного фактора?
Речь не идёт о банковском секторе, важной электронной почте и т.п.
Скорее, всякие проекты типа форумов, публичных блогов, различных внутренних сервисов, каждый из которых содержит панельку/админку с паролем, который бы не хотелось иметь один на все, но не хотелось бы ломать голову, как их хранить.
Да, я в курсе про методики типа «добавлять к паролю суффикс из домена» и т.п., но это всё полумеры.
Если у меня есть уверенность, что телефон не попадёт в руки злоумышленников, а даже если попадёт, я всегда могу пойти и физически на сервере сбросить все пароли, то что меня должно ограничить от использования апликации google authenticator в качестве ключа к моим сервисам?
