это не является проблемой, пин живет всего около минуты по дефолту, вернее в окне 30 сек живут два пина, количество попыток ввода ограничено - если специально никто нигде не ошибся перебор невозможен - в чем проблема то?

сам 2fa в отрыве от реально решаемой задачи никому нафиг не нужен, если решается вопрос доступа к серверам все равно нужен бастион - teleport на рынке самое доступное решение после самописных, да и даже за деньги(от 15к$/год) он остается одним из самых доступных - все остальное имеющее сопоставимые фичи стоит дороже.
Если к сервису прикручивать то опять же - это гемор для пользователя тк нужно еще одно приложение, в то время когда уже практически стандарт нарисовался.
Что бы эта штука взлетела надо для начала сделать обратную совместимость с тем что сделал гугл и предлагать опционально "расширенную безопасноть",  а параллельно еще и доказать что в этом резон есть, написать либы для быстрой интеграции в php5\7, go, nodejs и может даже ror.
Сейчас это выглядит как стартапчик с модным стеком - rust+go(зачем вообще эта смесь адская) без идеи как это продать. У нас 1,6М зареганных юзеров, все с двухфакторкой(без нее не зарегаешься), за 5 лет ни одного зарегестированного кейса когда злоумышленник бы обошел ее. Так какой профит тратить силы на внедрение?

Дело не в переборе, дело в фишинге. Есть много готовых инструментов, позволяющих делать mitm, перехватывать коды двухфакторки. Время жизни в 30 секунд тут не важно — жертва вводит otp на фишинговый ресурс, видит непонятную ошибку или просто перенаправляется уже на окно аутентификации реального сайта, а злоумышленник уже увел сессию.

Второе, более важное для меня отличие - пуши. Мои пользователи избалованы и не готовы вводить 6 цифр каждый раз. У krypt.co - пуши.

Про бастион (джамп сервер) - все тоже не так однозначно. В кровавом энерпрайзе в интранете бастион ослабляет безопасность сетевых доступов. На примере: есть сегментированная сеть (подсети разработчиков, админов, много подсетей для разных типов серверов и т.п.). Если используется прямой доступ по ssh без бастиона, то можно пилить точечные сетевые доступы (от сети разработчиков - к дев серверам, от сети админов - к прод серверам и подобное). А если используется бастион, то сетевые доступы предоставляются всем до него и от него на все сервера. Пилить в каждую подсеть по отдельному бастиону - такое себе.

а если говорить про реальность? в чем ослабление то? Ну нормальные аргументы - вот попал разработчик на бастион - с бастиона у него доступ до 2 хостов, зашел дб админ на бастион у него доступ к 3 хостам с бд - в чем ослабление?

в чем разница между админить 1 бастион или 1000 000 бастион хостов?

это все так же делается двумя кнопнками как и в случае с 1 сервером

так чем бастион ослабляет?
у бастион хоста нет какого-либо доступа к хостам за ним, он только проксирует юзера, юзер который не имеет доступа на сервер за бастионом никак туда не попадет - его юзел просто не запровиженен на сервер - это абсолютно обычная реализация нормального бастиона, если где-то сделано по-другому то это ошибка реализации и не более

я говорил про сетевые доступы. Безопасность — это же комплексная штука и хорошо, когда ее обеспечивают в несколько слоев разные команды: телекомы - выдают сетевые доступы, админы выдают ssh-доступы. Но это все классический подход, оффтопик, не devsecops. Бастион — он только про ssh-доступы (уровень приложений если по модели osi).

в случае с 1,6М пользователей — конечно не заработает. Особенно учитывая то, что для ssh krypton требует настройки на стороне клиента и не требует доп.настройки на стороне сервера. Но если соотношение обратное — мало клиентов (админы, разработчики) и много серверов, то krypton выглядит норм.

>если решается вопрос доступа к серверам все равно нужен бастион
гугл осуждает такую вашу позицию

это тот гугл у которого только пару лет назад появился tls между сервисами внутри, а до этого трафик снимали все кому не лень? ок да - отличный пример

с учетом количества железа используемого гуглом там все слишком по-другому. естесвенно если все обмазано различными dpi системами и прочим картинка совсем другая, но тут разговор сейчас не за железо стоимостью в сотни и более тысяч долларов

Beyond Corp я имею в виду

Они в белой бумаге расписывают почему они считают что бастионы и ип рестрикшены это мнимая безопасность

Которая приносит больше вреда чем пользы

И мол будущее за sso

Ну это на сколько я её понял

А кто-то не согласен с этим?)