​​Кнопка «Да, это я» / Вход по QR коду

Продолжаем серию постов про альтернативы смс с кодами для 2фа.

Предположим, у вашего продукта есть мобильное приложение, и пользователь там уже залогинен.
Пользователь хочет войти на новом устройстве.
Тогда можно использовать ту сессию пользователя как 2fa, проверку что он владеет устройством на котором уже инициирована сессия.

Подсобрал такие примеры:
— Кнопка «Да, это я». Этот вариант вы могли видеть в качестве второго фактора, когда заходили в сервисы гугла, и на вашем смартфоне появлялся экран подтверждения входа.
— «Вход по картинке». Новый способ аутентификации от Яндекса. Вот статья от 31 окт 2023. По сути это вариация 2fa как в предыдущем варианте от Гугла, но без первого фактора (пароль вводить не надо) и с небольшой доп защитой — нужно выбрать правильную из 4 картинок в приложении, а не просто нажать «да».
— QR-код, который вы сканируете из приложения, где уже залогинены. Этот вариант вы могли видеть в Whatsapp, когда логинитесь на десктопе. Из наших — в супераппе Яндекса.
— Экран подтверждения транзакции в приложениях необанков. Из необычного — необанки N26 / Revolut / BBVA. Механика такая: при оплате вы попадаете на 3DS, но вместо ввода кода вам говорят: «иди в приложение». Когда открываете приложение — сразу попадаете на экран с описанием транзакции и с кнопкой «Подтвердить». Да, это не совсем про аутентификацию, но про авторизацию транзакции. Вход в приложение подтверждается по FaceID/TouchID. Получается такой гибрид 2 и 3 фактора (what you have + what you are).

Скринов накидаю в комментарии.

Плюсы:
— UX простой и приятный, конверсия выше: в отличие от TOTP, приходит пуш, и не нужно вводить цифры
— Бесплатно, опять же
— Доставляемость больше, хотя и зависит от интернета у пользователя

Минусы:
— приложения может не быть у пользователя
— не подходит для первичного входа в мобильное приложение. Большинство продуктов использует тут старую добрую смс, со всеми вытекающими. Безопасность — получается не выше чем у смс.
— существуют сервисы без приложения в сторе, только с мобильной веб-версией

==========

Проспойлерю завтрашний пост: Представьте, я логинюсь на десктопе, прикладывая палец к 6-летнему андроид-смартфону!

А пока поделитесь в комментах, какие еще примеры in-app 2fa вы видели? Может быть, что-то такое делали в своих сервисах?