Because once the keys are generated and stored on the user side, and likelihood of their compromising is much higher than the one-time code generated repeatedly by a certain algorithm.
I think that for secure all means are good, and service need provide users ability to use all of them, for example,  in realization one project we using digital pin+ master password, two-factor authentication and multisig, and it **really safe**

slows down for 5 seconds, which are required to enter a code? that's funny))
let it remain as is, while cases of hacker attacks will only increase

Если нужно, могу потом просто сделать на русском пост, но пока есть более приоритетные вещи именно для перевода на русский, те же ключи например

Привет STEEMers!

В свете вышеизложенного, с кибератаку на STEEM, когда около 260 учетные записи были скомпрометированы, и в дополнение к этому посту о безопасности и рисков
SteemIt.com должен быть взломан? Советы по безопасности я предлагаю обсудить такой важный момент, как двухфакторная аутентификация , также известный как двухэтапная проверка (2sv) и необходимость их добавления на STEEMIT.
Двухфакторная аутентификация или 2-факторную авторизацию - пользователь метод идентификации, в котором сервис, где двух различных типов проверки подлинности данных используются. Введение дополнительного уровня безопасности обеспечивает более эффективную защиту аккаунта от несанкционированного доступа.
Двухфакторная проверка подлинности требует пользователей двумя из трех типов идентификационных данных.

Что-то, вы знаете;
То что у вас есть;
Что-то, присущее вам(биометрия)
![]

1-й - это пароли, ПИН-коды, секретные фразы, и так далее - то, что пользователь запоминает и вводит в систему при запросе.
3-й аутентификация с помощью биометрических устройств и методов проверки подлинности. Это может быть, например, лица, отпечатков пальцев или сетчатки сканеры.
Обсудим более подробно в 2-м пункте.

Это знак того, что это компактное устройство, которое находится в собственности пользователя. Самые простые маркеры не требуют физической tocomputer связи - они имеют дисплей, который показывает число, которое пользователь вводит в систему для входа - более сложные подключаются к компьютерам через USB и Bluetooth-интерфейс.
Сегодня, в качестве знака может выступать смартфоны, ведь они стали неотъемлемой частью нашей жизни. В данном случае, так называемый одноразовый пароль генерируется или с помощью специальных приложений (например, аутентификация Google, Authy? электронная.т.C), или приходит смс - самый простой и удобный способ, который некоторые эксперты оценивают как менее надежные.
Теоретически, что делает его гораздо труднее неправдами получить достаточно информации, чтобы взять на свой счет, потому что любой логин он крадет сегодня являются бесполезными завтра.

Проблема в том, что эти системы 2fa все работают немного по-другому, и все они имеют различные сильные и слабые стороны.
Этот пост поможет вам понять эти различия.

Одноразовые пароли через SMS

Это где вам будет предложено ввести дополнительный цифровой код после аутентификации имя пользователя и пароль.
Отправили код на вашем мобильном устройстве в виде текстового сообщения (SMS).
После того как полученный код вы вводите его в поле и логин доходов.
Важно отметить, что специально для этого типа двухфакторной проверки подлинности, что SMS-коды не всегда работают для всех.
Сервер не имеет ваша страна в списке поддерживаемых регионов; ваш мобильный оператор не может доставить сообщения; или вы могли бы ненадежные покрытия мобильной сети.
По понятным причинам это не будет работать со стационарным телефоном, но там немного другая версия, что позвонит вам и прочитать код.

![]

Преимущества и недостатки
+ Код каждый раз разные, так что если ваш обычный пароль взломан или украден, он не мошенник.
+ Код привязывается к вашему номеру телефона, который не может быть изменен вредоносных программ на вашем компьютере.
- Если ваша Мобильная Сеть не работает или вы находитесь вне зоны покрытия, вы можете не получить код.
- Мошенники могут в порт вашего телефона (также известный как SIM-карты поменять) через сообщника в магазин мобильных телефонов, и получать звонки и сообщения, пока вы не заметите свой собственный телефон разрядился.
- Если вы входите в систему и получения СМС на одном устройстве (например, планшета или смартфона), Ваш логин подвержены такому же риску, как пароль.

Приложения Проверки Подлинности

Приложения проверки подлинности выполняют ту же вид услуг, как SMS 2-факторную авторизацию, но вместо коды входа направляется к вам, они генерируются локально на вашем смартфоне или планшете.
Этот тип проверки подлинности использует криптографические алгоритмы, основанные на временных одноразовых паролей (аналогичного пароля).
Основная функциональность заключается в том, что секрет отправной ключ или семян генерируется и хранится на сервере, а потом вскарабкались криптографически с текущего времени и даты когда вы входите в систему. Это производит такое время-определенный код, как правило, действительна в течение 30 или 60 секунд.
Когда вы создали свой аккаунт, это семя отправляется к вам (например, используя QR-код) и импортировать в приложение для проверки подлинности вы используете.
Пока дату и время на вашем устройстве в течение 30 или 60 секунд, и семена были импортированы правильно, приложение будет генерировать коды для входа, которые соответствуют показателям, рассчитанным на сервере.
Даже если мошенники запишите свои последние 10, 50 или 10 000 паролей, нет никакого способа, чтобы восстановить последовательность и понять, что будет дальше, если они вам удержать семя.
Существует множество реализаций этого типа сервиса, но Google Аутентификатор является, пожалуй, одним из самых известных версий.

![]

Преимущества и недостатки
+ Не полагаться на SMS каждый раз, когда вы логин – нужно только быть ОНЛАЙН, когда вы настроите учетную запись, так что вы можете получить семя.
+ Один аутентификатор приложение может работать с несколькими аккаунтами.
- Если мошенник завладеет семян (либо с вашего устройства или взлома сервера), он может вычислить любой будущий логин.
- Если вы входите в систему аутентификации приложение на одном устройстве, аутентификатора коды подвержены такому же риску, как пароль.

Логин проверки

Логин проверки еще одна вариация на темы выше.
Теперь, вместо того, чтобы ввести код, уведомление для входа будут отправлены на ваше мобильное устройство. Как только это будет одобрено, вы будете подписаны на сайте.
Этот процесс не использует секретный ключ, или семя, которое должно быть поделено между устройством и сервером.
Вместо этого он использует криптографию с открытым ключом для подтверждения вашей личности.
Закрытый ключ генерируется и хранится в приложение на вашем устройстве. Открытый ключ отправляется на сервер и хранится там для будущего входа.
При входе в систему, вызов будет сгенерирован сайтом и уведомление будет отправлено на устройство.
Если утверждается, устройство будет подписать вызов, отправить его обратно на сайт для проверки (потому что только ваши устройства могут входить вызов с закрытым ключом), и логин будет проходить в вашем браузере.
Например, в Твиттере реализована система такого типа в прошлом году

![]

Преимущества и недостатки
+ Не полагаться на SMS каждый раз, когда вы входите.
+ Один логин проверки приложение может работать с несколькими аккаунтами.
- Если мошенник завладеет вашим закрытым ключом, он сможет маскироваться под вас.
- Если вы входите в систему проверки приложений на одном устройстве, ваш закрытый ключ находится под угрозой в качестве пароля.

Правда двухфакторной аутентификации

Ранее мы говорили о 2fa и 2СV.
Они практически одинаковы, но обратите внимание, что имя 2СV тщательно избегает о том, что есть две отдельные факторы в системе.
Правильное “два фактора” системы, как следует из названия, должен два различных фактора аутентификации, а не только в двух шагах.
Итак, веб-счета, что повышает безопасность с помощью одноразовых SMS-кодов больше не строго “два фактора” если вы запустите Ваш браузер и получить в sms на тот же компьютер или мобильное устройство.
На то, чтобы считаться истинным 2fa системы., он должен два компонента, которые работают самостоятельно и избежать единой точки компромисса
Общих реализаций этого являются смарт-карты, токены авторизации, такие как алгоритм RSA securid и Yubikeys.
Смарт-карты требуют специального считывающего устройства, чтобы общаться с чипа на карте, но этот чип действует как крошечный самостоятельный компьютер со своим процессором, защищенную память и возможности шифрования.
Yubikeys имеют свой собственный криптографический процессор, но общаться по USB, притворяясь клавиатурой. Когда вы подключите устройство yubikey и укрепите дальше, это эффективно “типы” одноразовым кодом для входа, который был вычислен внутри ключа.
Маркеры также имеют свой собственный процессор, и вообще не подключиться к вашему компьютеру на все. Вместо этого, они имеют крошечные ЖК-экран, который отображает ваш текущий код для входа.

![]

Преимущества и недостатки
+ Не полагаться на SMS.
+ Не нужен телефон или планшет.
+ - Независимое безопасности устройства, что всегда отдельно от компьютера, телефона или планшета.
- Вы можете в конечном итоге с брелока полный маркеров, по одному для каждой учетной записи.
- Не могут быть доступны от поставщика услуг бесплатно.

Теперь рассмотрим различные способы говорить о том, насколько надежной двухфакторной аутентификации.

Это хороший вопрос. 2-факторную авторизацию не является непроницаемым для злоумышленников, но это серьезно осложняет им жизнь.

"Через 2-факторную авторизацию исключить достаточно большой категории обстрелов", - сказал Джим Фентон , директор по безопасности OneID. "Взломать двухфакторную аутентификацию, "плохие парни" будут украсть ваши отпечатки пальцев и доступ к куки-файлов или кодов, генерируемых маркер".

Последнее может быть достигнуто, например, с помощью фишинга или вредоносного программного обеспечения. Существует еще один необычный способ: доступ к учетной записи журналиста проводной (Матф если разлука) нападавшие получили с учетом восстановления функции.
Восстановление учетной записи действует как инструмент для обхода двухфакторной аутентификации. Фентон, после истории с Мэттом лично создал аккаунт в Google, активирован 2-факторную авторизацию и прикинулся "потеряли" запись данных.

"Восстановление учетной записи потребовалось некоторое время, но через три дня я получил письмо, что 2-факторную авторизацию был отключен", - сказал Фентон. Однако у этой проблемы есть решение. По крайней мере они на них работают.

Однако, есть интересный момент. Следует иметь в виду, что двухфакторная проверка подлинности для проверки подлинности добавляет дополнительный шаг, и, в зависимости от реализации, это может вызвать некоторые трудности с входным сигналом (или позвонить им), и серьезные проблемы.
По большей части, связанные с этим, зависит от терпения и желания улучшить безопасность Вашего аккаунта. Фентон сделал следующее замечание:

"2-факторную авторизацию-это хорошо, но это может усложнить жизнь пользователям. Потому что имеет смысл вводить только для тех случаев, когда входной сигнал от неизвестного устройства. "

Двухфакторная аутентификация-это не панацея, но помогает существенно повысить безопасность Вашей учетной записи с минимальными усилиями. Усложнение жизни хакеров - это всегда хорошо, чтобы использовать, потому что 2-факторную авторизацию можно и нужно.

Я думаю, добавив возможность использовать 2-факторную авторизацию очень важно для STEEMIT, это поможет избежать многих проблем в будущем и пользователи не будут беспокоиться о безопасности своих средств.

Спасибо за внимание, поделитесь своим мнением в комментариях 
П. С. использовать 2-факторную авторизацию и безопасную