Интересует субъективное мнение Бнвача. Яндекс в принципе более или менее убедительно вещает о том, что двухфакторная авторизация через TOTP и HOTP — не очень: https://habrahabr.ru/company/yandex/blog/249547/. И уже года три, как предлагает собственное решение, типа более адекватное. Недостаток по сравнению с тем же TOTP по-моему один: надо подключить телефон к интернету, чтобы пользоваться. За это время Яндекс вполне мог пробить свой алгоритм в виде какого-нибудь тоже RFC. И превратить, таким образом, своё наколеночное поделие в полезную по всему миру вещь. Что мешало? Пофигизм? Жлобство?