Due fattori, in sequenza: prima qualcosa che sai, poi qualcosa che possiedi. Superare il primo non basta.
Apri l'app authenticator e copia il codice a 6 cifre.
In un'applicazione reale, qui il server emetterebbe un cookie di sessione firmato e ti manderebbe alla tua area riservata.
Il server ricalcola il codice atteso a partire dal segreto e dall'ora, e mostra qui ogni passaggio. Esiste solo perché questa è una demo: in produzione esporre il segreto vanificherebbe l'intero meccanismo.
Confronta codice atteso con quello sul telefono: se coincidono, segreto e orologi sono allineati. Se differiscono, il colpevole è quasi sempre l'orario.