Viszont nekem ebből az jön ki, hogy ha a mobileszköz kompromittálódott, akkor egyszerre komprommittálódhat mindkét 'faktor'
Lehet, hogy elsiklottam valami felett a threadben, de nem. Van egy telepített és aktivált mobilapp + egy PIN, amit csak az adott instance fogad el.
Példa. Van olyan (nem kicsi) bank Magyarországon, ahol a banki IT (jelige: "lehetetlen megoldani") csak úgy tudja megoldani a meghatalmazottak mobilbankos regisztrációját, hogy bementek a bankfiókba, beaktiválod a meghatalmazott telefonján a mobilbankot, majd az ügyintéző az eszköz típusa mezőben átírja az "iPhone 16" szöveget a meghatalmazott személyes adataira.
Amit ott beállít a meghatalmazott PIN-kódot, az csak a saját mobilján működik. Ha kompromittálódik a mobil, akkor csak egy faktor megy a levesbe ("amim van"), a PIN ("amit tudok") nem kompromittálódik vele automatikusan.