我一直在研究无令牌（尤其是基于 SMS）和基于传统令牌的两因素身份验证（想想 RSA SecurID）的各种优点/缺点。在做了一些研究之后，我认为在可用性、成本等方面我对这两个选项有了更好的理解，但是我很难找到对每个解决方案的安全性进行深入的独立分析。
据我所知，无令牌 2FA 更便宜且更易于部署。我也很欣赏有些人不太可能忘记他们的手机而不是忘记他们的 OTP 令牌。缺点包括需要某种程度的 SMS 接收，尽管供应商已经制定了解决方案来解决这个问题，包括在使用最后一个代码后立即发送下一个代码、“日用”代码以及在每个 SMS 中发送多个代码。我是否认为这些“解决方案”实际上是一种安全妥协？如果是这样，他们实际上有多大的妥协？我也听过一些人说，每次接收短信的过程对于普通用户来说都是一种痛苦，而传统的令牌更实用。有没有人发现是这种情况？
传统 OTP 代币的优点包括不需要电话接收，而且它们对普通用户很实用。您是否建议将传统代币部署给国际旅行的员工（由于移动接收问题）？
由于无令牌 2FA 既便宜又易于部署，您会认为传统令牌会比它们更快地过时。如果您相信 SecureEnvoy 等公司的营销材料，那么传统 OTP 代币的时代已经屈指可数。但是，我的印象并非完全如此。这使我认为许多公司都坚持使用传统的物理令牌，因为他们认为它们比无令牌 2FA 更安全。是这种情况，还是由于其他一些因素？像 RSA SecurID 这样的传统解决方案只是在他们过去建立的市场地位上进行交易，还是仍然存在物理代币的情况？
乍一看，软令牌似乎提供了基于 SMS 的令牌的一些好处，而不需要 SMS 接收。如果用户拥有智能手机，那会是更好的选择吗？基于智能手机用户通过 SMS 部署软令牌是不费吹灰之力，还是有其他因素需要考虑？
我知道我真的问了一些相关的问题，所以回顾一下，我的问题是：
a) 无令牌 2FA（尤其是基于 SMS）是对传统令牌的安全妥协吗？
b) 实体代币是否仍然很受欢迎，只是因为它们经过了尝试和测试，像 RSA 这样的公司以他们已经建立的声誉进行交易，还是仍然存在坚持使用实体代币的客观案例？
c) 人们是否发现基于 SMS 的 2FA 对普通用户不切实际，并发现自己向这些用户部署了物理令牌？
d) 与在 SMS 中发送和存储单个代码的默认设置相比，单个 SMS 中的“日常使用”代码和多个代码等解决方案是否存在很大的安全隐患？
e) 对于智能手机用户，部署软令牌而不是依赖基于 SMS 的 2FA 是不是很容易？
f) 谁能指导我阅读一些我应该阅读的适当文献，以真正了解上述一些问题？
这些问题密切相关，所以我把它们放在一起。如果您觉得我应该将上述内容分成单独的 StackExchange 问题，请告诉我。