TOTPはもともとスマホに持たせるものではなくて、専用のトークンに入れることが前提だった。認証サーバーからシークレットを直接共有するときに、第三者に経路を盗聴されるどころかインターネットに流すことすらしないから、「所持」が成立していた。