Estaba considerando agregar HOTP como una opción a mi sitio web (junto con elementos como los tokens de SMSed una vez que ya tengo). Pero estaba considerando un problema que HOTP tiene inherentemente:
Las cosas como el iPhone generalmente tienen una copia de seguridad junto con todos los datos de la aplicación. Eso significaría, digamos que estoy usando Authy para generar mis tokens OTP, las claves secretas desde Authy también se incluirían en dichas copias de seguridad. Bueno, todo el propósito de la OTP es que la información en la computadora no sea suficiente para ingresar en una cuenta y usted necesite ese segundo factor en caso de que algo como el malware llegue a la computadora (si lo entendí correctamente). Pero esta copia de seguridad significa que, si tengo acceso a su computadora, puedo obtener su contraseña a través de modales convencionales, como un registrador de teclas, pero también puedo buscar en las copias de seguridad de su teléfono móvil la clave secreta de HOTP y sin su teléfono, iniciar sesión correctamente.
Entonces, ¿qué impide que las personas hagan eso y por qué debería ofrecer también HOTP o es mejor para mí seguir usando solo tokens de SMS?