а если у тебя локалхост не дырявый, то ты можешь записать пароль в текстовый файл, вбить нормальный мастер ключ на cryptsetup и спать относительно спокойно

а если перехватили пароль, то перехватили и твой аутенфикационный куки, который пришел от гитхаба, и вообще трахнули тебя во все отверстия

а если вторым фактором является почта, или СМС с дырявым SS7 и злономеренный опсос опять тебя поимел?
и кстати если пароль сброшен то ты это как минимум узнаешь, когда попытаешься залогиниться в свою систему
но если ты не доверяешь своей почте (поднимайть хоть свою собственную), то зачем ты регишь на нее аккаунт, если у системы это один из основных каналов коммуникации?

а если ты еще придумаешь какую-нибудь хрень, то советую самому почитать про векторы атаки

второй фактор усложняет атаку пользователя, но абсолютно не является панацеей и уж тем более не является, чем-то обязательным, для обеспечения безопасности, все сугубо индивидуально, и зависит от степени раздолбайства