A "birtoklás"-on én adott fizikai eszközhöz való kizárólagos hozzáférést értek, a totp esetén ez részben sem teljeszül (nem kell fizikai eszköz, és nem kizárólagosan az érintett férhet csak hozzá), és mivel a shared secret ismerete elégséges a 2. faktor generálásához, így én ezt sokkal inkább a "tudás" kategóriába sorolom - pláne, hogy megosztható harmadik féllel/megismerhető harmadik fél által, és onnantól kezdve ez a harmadik fél is teljes azonosítást tud végezni a rendelkezésére álló információk birtokában.