Думаю купить FIDO2-ключ. По ряду причин.

Первая: фишинг. TOTP-коды и пуши отлично перехватываются через прокси-фишинг, а FIDO2 привязан к домену. Ключ просто не подпишет вход на поддельный сайт, даже если я сам туда зайду и нажму все, что попросят.

Вторая: индустрия сама туда идет. OpenAI сделала аппаратные passkeys обязательными для участников программы Trusted Access for Cyber. С включенной Advanced Account Security пароль отключается, восстановление через почту и SMS убирается, а поддержка доступ уже не вернет. Подозреваю, что за ними подтянутся и остальные.

Третья: SSH. ed25519-sk - приватный ключ живет в железке, без касания коммит не запушишь и на сервер не зайдешь. Утекший ~/.ssh больше не катастрофа.

Четвертая: ИИ-агенты. В YubiKey 5.8 появилась подпись произвольных данных через WebAuthn (пока как preview). То есть "агент хочет мигрировать схему в проде" -> подтверждение физическим касанием. Human-in-the-loop на уровне железа, а не кнопки "Approve" в чате.

Пятая: деньги. Биржи, банки, почта и все, через что обычно уводят доступ, закрываются именно им.

Что выбираю:
— YubiKey 5C NFC: эталон, FIDO2 + PIV + OpenPGP + TOTP.
— Token2 PIN+: FIDO L2, до 300 passkeys против 100 у Yubico, вдвое дешевле.
— Брать минимум два. Цель - резервирование.

А вы чем пользуетесь? Есть опыт работы с этим классом устройств?