Wurde das nicht schon abgelehnt?
Für die Sicherheit wäre es jedenfalls toll.
Ihr habt scheinbar die aktuelle Umsetzung nicht verstanden 
Wer im Frontend eingeloggt ist, hat die 2-Faktor-Authentifizierung bereits durchlaufen. Ein 2. Mal ist wenig sinnvoll und bringt nicht mehr Sicherheit.
Und ohne existierende Session sieht es nach dem Login im ACP so aus:
Es spielt in meinen naiven Augen nämlich keine Rolle, ob ich die Reauthentifizierung mit einem PW (1. Faktor) oder - nehmen wir mal obiges Beispiel - mit einem Smartphone (2. Faktor) durchführe. Es geht ja nur darum, dass der wirkliche Inhaber des Admin-Kontos seine Identifität bestätigt. Ob das nun ein PW oder ein Code ist, sollte beliebig austauschbar sein.
Jain. Mal angenommen der zweite Faktor ist ein TOTP übers Smartphone: Dann wüsste ich, obwohl ich aus Bequemlichkeit angemeldet bleibe, jederzeit, dass jemand versucht, dieser Sitzung höhere Rechte zuzuweisen. Mein Passwort können Angreifer abgreifen. Aber der zweite Faktor ändert sich fortlaufend und ist ausschließlich mir bekannt. Da müsste man schon mein Smartphone entwenden und entsperren.
Wen ich auf mein Bank/Postfinance Einlogen geht so. Zu erst Login Zahl, dann Pin dann kommt Nächster Schritt Fingerscan. 2 Sicherheit wen man über Smartphone ein Logt. Auch auf PC muss zu Erst Zahlen, Pin, dann muss auf Smartphone Bestätigen dann Fingerscan Das ist ein Hauch Sicherheit
