@mo авторизация с я.ключем это TOTP с солью в виде пинкода. Гугловский аутентификатор является просто TOTP.

Но вопрос не в работе ключа, а в том, что при восстановлении его нужно только подтвердить наличие у тебя в руках телефона с нужным номером. Не нужно ставить никаких фраз или устанавливать специальных вопросов. Просто вводишь номер, вводишь смс код с него и всё, тебя просят поставить новый пароль на весь аккаунт. Таким образом вся двухфакторная безопасность я.ключа (знание пинкода + владение устройством) сводится к 1 фактору: владению номером телефона.