第1章
防锁死思维：人们为什么会把自己锁在门外
1.1 学习目标
学完本章，学习者能够：
- 区分被攻击的风险与自我锁死（lockout）的风险。
- 解释为什么强密码和2FA仍可能导致全部丢失。
- 区分战术（MFA、密码）与战略（恢复架构）。
- 识别三种常见的"故障模式"：循环依赖、单点故障和同时故障。
1.2 概念
什么是锁死
锁死是指合法所有者再也无法进入自己的账户或数据。这里没有坏人：系统只是在尽职地阻挡无法证明身份的人，而所有者恰恰证明不了。
三种常见故障模式
| 故障模式 | 描述 | 例子 |
|---|---|---|
| 循环依赖 | 进入A需要B，进入B又需要A | 密码管理器的2FA验证码就保存在密码管理器本身里 |
| 单点故障 | 一台设备或一个账户掌握着所有东西的钥匙 | 只有一部手机装着全部身份验证器应用 |
| 同时故障 | 多个东西因同一原因同时失效 | 为了"清理干净"在一个晚上重置所有设备 |
战术与战略
- MFA（多因素认证）是战术。 它回答"如何把门锁牢？"，用你知道的、你拥有的、你本身的东西保护每一次登录。
- 恢复架构是战略。 它回答"当东西逐渐损坏时，什么还能救回什么？"。
- MFA越强，就越需要出口。一扇没有备用钥匙的钢门就是一个陷阱。
1.3 示例
A先生是工程师，使用密码管理器，所有账户都开启了2FA，使用端到端加密邮箱。一天晚上，他怀疑电脑中了恶意软件，于是同时重置了笔记本电脑和手机。
- 身份验证器应用（存有2FA验证码）在手机上：没了。
- 密码管理器的2FA验证码保存在密码管理器本身里：打不开。
- 主邮箱用备用邮箱恢复，备用邮箱用主邮箱恢复：两者都要求2FA验证码。
- 云端的"备份"数据其实是同步文件夹，在A先生清理电脑时被一起删除了。
结论：根本没有攻击者。A先生拥有足够强的安全工具，但他的架构没有出口。这不是技术错误，而是架构错误。
1.4 常见错误
- 认为"安全层越多越安全"，却不问每一层靠什么恢复。
- 在慌乱中清理、重置或批量修改密码。
- 以为云端已经"自动替你备份"。
- 把自己当成永远不会忘记、永远不会丢设备的人。
1.5 检查清单
1.6 练习
- 画图：每个重要账户是一个方框，箭头指向"由……恢复"。找出其中的循环。
- 写出"今晚丢了手机"的情景。明天早上你还能进入哪些东西？
- 讨论：为什么人不仅是攻击中、也是恢复中最薄弱的环节？
1.7 小结
- 对大多数用户来说，最大的风险是把自己锁在门外，而不是黑客。
- MFA是工具；恢复架构才决定系统的生死。
- 好的系统不要求人是完美的。