> а вот это правильный вопрос. Чем ним нормальная 2FA не угодила?

и где она, нормальная -то?
_нормальная_ - self hosted, а не в гугле. Желательно - в кармане, а не на сервере.

то есть в идеале - usb-token с пинпадом (требует _одновременно_ продемонстрировать наличие артефакта _и_ знание пина. Причем правильный пин не является особоценным товаром, поменять его можно в любую секунду и это никак не требует синхронизации с тем, от чего там лежат ключи). И, разумеется, понятным мне содержимым, а не нечто залитое эпоксидкой, а внутри sd карта с ключами там же где и шифрованный раздел, как мы все любим.

С тех пор, как вездесущие камеры свели пользу от otp-генераторов на базе хешей к нулю, я уже очень давно ищу им какую-нибудь замену. Тоже нету в природе.