> Нет второго фактора, пока у тебя канал связи один.
> Для секурного входа есть TLS сертификаты и SSH ключи, для совсем параноиков
> они могут хранится в типа неизвлекаемых девайсах яля смарткартах и прочих
> токенах.

Почему меня не спасет одноразовый токен, который высылается в SMS или генерится приложением на моем устройстве при аутентификации, например, по отпечатку или PIN-у? Который я потом через HTTPs-форму ввожу на сайт?

Я же не пытаюсь защиту от всего придумать, но двухфакторка срезает большинство атак. Остаются только те, где атакующий ОЧЕНЬ мотивирован или ему ОЧЕНЬ повезло и достались сразу оба ключа,: еще и от одного пользователя, к тому же.

Если вы — не параноик, а потенциальный объект такой сложной атаки, то вас очень мало, и вашу проблему дополнительными мерами решить намного проще. Такое малое количество людей можно и пароль сложный на чувствительные даныне ставить научить, например. А в особо чувствительных случаях — и смарткарту выдать.

Для защиты большинства ничем не примечательных пользователей будет достаточно того, что я предлагаю.