Ismerős - sajnos ettől még a sima user/password, mint "azonosítás" lóf....ütty, nagyjából nulla szinten érdemes megbízni olyasmiben, ami csak ennyit használ az érintett azonosítására... És igen, a totp sem tesz hozzá sokat - pont amiatt, mert nem észlelhető módon lehet klónozni, másolni, illetve ezekkel az adatokkal megszemélyesíteni az érintettet.