Avrò la protezione 2FA su una rete potenzialmente insicura?

Sebbene io sia generalmente d'accordo con @schroeder, un punto di differenza è che, senza 2FA, una volta che la tua password è stata catturata in questo scenario MITM, l'utente malintenzionato ha accesso illimitato al tuo account. Tuttavia, con 2FA, anche se MITM è la tua password e la tua password monouso, questo accesso permetterà loro di vedere il tuo traffico mentre stanno intercettando attivamente la tua sessione (dato che si tratta di un token una tantum / time-based, il codice 2FA non può essere utilizzato per accedere di nuovo da un'altra macchina controllata dall'hacker). Quindi, anche in ambienti totalmente insicuri, è sempre meglio usare 2FA rispetto a no. In altre parole, la libreria potrebbe, potenzialmente, visualizzare la sessione in corso mentre sei lì, ma non potranno, in futuro, accedere al tuo account quando non ci sei.

2FA non ti proteggerà quando ti trovi in una situazione MITM. Immagina questo scenario: la pagina di accesso di Google è falsa e tutto ciò che inserisci viene catturato dal MITM. Fornisci le tue credenziali, quindi il sito falso passa a Google. Google sfida il MITM per il codice 2FA, ma trasmette tale richiesta all'utente. Fornisci il passcode e ora il MITM lo passa. Il MITM è ora correttamente autenticato e ha superato 2FA. Ora hanno il controllo sul tuo account: potrebbero smettere di consentirti di accedere alla sessione e prendere il sopravvento, o guardare la sessione in segreto.

2FA è pensato principalmente per proteggerti da attori malintenzionati che cercano di rinforzare il tuo account o utilizzare una password catturata.

2FA è pensato per aiutare solo nel login iniziale. Si dipende dalla crittografia end to end per salvaguardare le trasmissioni. È plausibile che si possa costringere l'utente a reintrodurre tutti i token disponibili per ripristinare la fiducia percepita tra l'utente e l'endpoint, ma man mano che la gente va, digitare la password più volte non è una grande comodità che chiunque vorrebbe passare. Ti consiglio davvero di dare un'occhiata all'evoluzione dei signon delle password da ncsa mosaic days fino ad oggi, in cui internet explorer è stato messo al pascolo.