> otp

Это 2-этапная аутентификация, а не 2FA.
Сперва обмениваются общим секретным ключом. Потом на основе этого ключа генерят временные пароли. При надежном канале между сервером и клиентом (например tls), совершенно лишний этап.

Я думал, подразумевается недо-2FA, когда аутентификация не только в github, но еще в другом провайдере аутентификации (фейсбук, вк, и тп).