Вторичная аутентификация аккаунта на сайте

Комментируем! Создал «первый коммент», чтоб можно было комментить, пока Хабру не починят :) Подробности: habrahabr.ru/qa/12275/

Подборка для тех, кто не желает повторять классические ошибки двухфакторной аутентификации, а так же для тех, кто хочет посмеяться над баянами :-)

thedailywtf.com/Articles/WishItWas-TwoFactor-.aspx
thedailywtf.com/Articles/Banking-So-Advanced.aspx
thedailywtf.com/Articles/WTF-Factor-Authentication.aspx

может действительно все-таки не вторичная, а двухфакторная?

Думаю вторичная аутентификация в данный момент особенно актуальна, нравится как сделано у гугла, с вводом места последней авторизации, нравится СМС, правда с ними бывают иногда проблемы — долго летят, но в целом считаю, что для серьезных систем вещь обязательная.

К аутсорсинговой аутентификации можно ещё отнести OpenID — на некоторых сайтах можно их несколько привязать, тогда те, которые обычно не используются, можно считать вторичными.

Мне нравится как сделано в платежной системе Moneybookers.

Операции связанные с выводом денег из системы дополнительно подтверждаются вводом даты рождения.

Вот, кстати, область, вообще в дисциплине «Защите информации» не отражённая: авторизация пользователей в «агрессивной» информационной среде при угрозе «угона» аккаунтов.

Теоретических подходов нет. Внятных обзоров и сравнений существующих технологий — нет.

Ситуация чем-то похожа на «сеть доверия» в архитектуре PKI — однозначное доказательство аутентичности пользователя его аккаунту получить практически невозможно и вследствие этого применяются относительно независимые друг от друга пути привязки пользователя к чему-либо индивидуальному:
— номеру мобильного телефона;
— паспортным данным;
— другим онлайн-аккаунтам;
— …