Best practices 2FA авторизации?

А расскажите про лучшие практики при реализации двухфакторной авторизации? Можно ссылочками.
А то у нас на работе внедрили, но как-то криво: не TOTP, а какое-то приложение MobilePASS+, который не позволяет создавать токен более чем на одном устройстве, у поля ввода для токена тип password(чтобы никто не подсмотрел, видимо), сессии авторизации буквально по полчаса, и всякая такая фигня.
Я не специалист, но мне удобно так, как сделано у гугла. А как у нас — неудобно. Хочу рассказать почему, чтобы можно было поменять, но нужна доказательная база "смотрите, RFC говорит, что надо делать так, максимум так".