Политика блокировки и одноразовые пароли

Это не совсем ответ на ваш вопрос, но при создании таких систем вы должны помнить, что удобство использования важнее безопасности каждый раз, когда две головы сталкиваются. Чем сложнее вы сделаете свою политику безопасности для конечных пользователей, тем больше у них будет мотивации придумывать небезопасные обходные пути для выполнения своей работы.

Шнайер сказал это лучше, чем я могу обобщить здесь, я d предложить читать на его материал там.

я понимаю вашу точку зрения безопасность против удобства использования, я предлагаю вам реализовать механизм блокировки статический пароль, который стал стандартом де-факто практически для каждого веб-сайта.

здесь объясняется очень хорошо, поэтому мне не нужно ввести снова:

Большинство современных механизмов блокировки паролей являются статическими, что означает, что они блокируют пользователя после определенного количества неправильных попыток ввода пароля. Эта функция реализована для предотвращения попыток грубой силы при входе в систему. Несмотря на то, что эта функция делает то, что должна, у нее есть и свои недостатки. С точки зрения безопасности, злоумышленник может злоупотребить этой функцией, чтобы заблокировать большинство или всех пользователей, написав сценарий со всеми возможными перестановками и комбинациями для имени пользователя (которые в основном представляют собой алфавиты, если не буквенно-цифровые), в результате в отказе в обслуживании.

С точки зрения юзабилити всегда ведутся споры о том, сколько попыток можно разрешить до блокировки учетной записи пользователя. Большинство веб-сайтов разрешают 3 попытки, в то время как некоторые (очень немногие) разрешают 5, а иногда и 7.

Intellipass пытается преодолеть разрыв между безопасностью и удобством использования этой функции. Сохраняя каждую попытку пользователя войти в систему, Intellipass может разумно понять прошлое поведение пользователя и действовать соответствующим образом. Например Если пользователь блокирует себя каждый раз, то Intellipass будет динамически увеличивать количество попыток с 3 до 5 или с 5 до 7. С другой стороны, если пользователь входит в систему первый или второй раз каждый раз, когда он или она пытается войти в систему в прошлом, но по какой-то причине потребовалось 3 попытки на этот раз, Intellipass автоматически уменьшит количество попыток с 7 до 5 или с 5 до 3. Второй компонент Intellipass — это ввод случайной капчи или вставка временной задержки между попытки входа в систему для предотвращения автоматических атак.