第2章
防锁死四层模型
2.1 学习目标
- 说明ROOT、CORE、BRANCH、LEAF四个层级及各自的作用。
- 把自己的账户和设备放到正确的层级。
- 应用单向恢复原则：下层向上层恢复，绝不反过来。
2.2 概念
数字生活中的每个组成部分都分为四个层级。各层级并不平等，保护方式也不相同。目标是：接受可控的损失，避免交叉锁死，始终保留一个"最后的锚点"。
| 层级 | 作用 | 组成示例 | 丢失后果 |
|---|---|---|---|
| ROOT – 救命锚点 | 根身份；证明"我就是我"的最终依据 | 合法身份证件；以自己名义注册的域名 | 丢失=几乎全部完了；必须极其稳定 |
| CORE – 心脏 | 保存全部密码和2FA因素 | 密码管理器；硬件安全密钥；独立的TOTP应用 | 丢失=须从ROOT恢复；痛苦但能活下来 |
| BRANCH – 缓冲层 | 邮箱、基础设施、重要服务 | 自有域名上的邮箱；注册商账户；NAS；云账户；操作系统账户 | 可暂时丢失；向CORE/ROOT恢复 |
| LEAF – 叶子 | 应用、SaaS、社交网络、工具 | 笔记应用、设计工具、论坛 | 允许死掉；可以重建 |
四条运行原则
- 上层东西要少。 ROOT只有1–2个组成部分。CORE越精简越好。
- 单向恢复。 LEAF通过BRANCH/CORE恢复；BRANCH向ROOT恢复；不存在反方向。
- 不自我依赖。 任何层级都不得依赖存放在其内部的东西。
- 上层保持安静。 ROOT组件很少使用，不用于日常登录，绝不交给AI。
选择ROOT的两种方式
| 方式 | 描述 | 优点 | 需管理的风险 |
|---|---|---|---|
| ROOT是大型平台账户 | 大型科技公司的账户，有人工客服和恢复联系人 | 容易上手；公司有恢复流程 | 公司可能依其政策封锁账户；你无法控制 |
| ROOT是法律身份+自有域名 | 身份证件证明域名所有权；域名可以重建邮箱 | 归你所有，可以更换服务商 | 域名过期或被非法转移会使链条断裂；须管理续费、转移锁和注册人信息 |
没有哪种方式绝对正确。重要的是清楚自己选了哪种方式，并管好该方式的风险。本教程将在第3章深入讨论第二种方式，因为它把控制权交给用户。
2.3 示例
事故之后，A先生按四层重建：
| 层级 | A先生的组成部分 |
|---|---|
| ROOT | 公民身份证；以A先生名义注册的域名 example.vn |
| CORE | 密码管理器（主密码由A先生记住；私钥打印在纸上并存于离线U盘）；2把硬件安全密钥；密码管理器的TOTP放在一个独立应用中 |
| BRANCH | 邮箱 ***@example.vn；域名注册商账户；DNS账户；家中的NAS；云账户；手机/电脑操作系统账户 |
| LEAF | 社交网络、笔记应用、设计工具、试用中的服务 |
A先生的回归路径：丢失注册商账户 → 携带身份证与注册商交涉（或转移到另一家注册商）→ 取回 example.vn → 重建邮箱 ***@example.vn → 用该邮箱恢复密码管理器和各BRANCH账户。
案例：一位同事丢失iPhone后被骗登录iCloud
注：以下描述的是丢失iPhone后此类诈骗的常见经过，用于教学。
背景。 一位同事丢了iPhone。这种事可能发生在任何地方：车上、咖啡馆、人多的场所。
常见经过。
- 丢机后，机主收到一条自称"Apple"或"查找"（Find My）的短信/iMessage或邮件，称iPhone已被找到，并邀请点击链接查看位置。
- 链接指向一个看起来像iCloud/查找登录页的假网页。页面要求输入Apple ID、密码，然后输入2FA验证码。
- 骗子立即用刚拿到的信息登录真实账户，将设备从"查找"/账户中移除，也就是解除激活锁。随后他们抹掉手机拿去卖，或解锁后自用。
- 机主通常要等到发现设备从设备列表中消失，或收到账户变更通知邮件时才察觉。那时手机可能已彻底丢失；如果骗子及时修改了恢复信息，账户的访问权也会丢失。
与四层模型的联系。
- iPhone是设备，但Apple ID属于BRANCH。 丢手机只是丢了一台设备；激活锁让手机与Apple ID绑定，骗子无法立即使用。这类诈骗针对的是BRANCH层（操作系统账户），而不是手机本身。
- 2FA验证码属于CORE层。 把2FA验证码输入假网页，等于机主亲手把上层的钥匙交给陌生人。原则：绝不在别人引导你打开的页面上输入密码或验证码。
- 单向恢复。 Apple ID的恢复路径必须指向机主掌控的CORE/ROOT（密码管理器、受信任的电话号码、自有域名上的邮箱），而不能依赖刚丢失的那部iPhone。如果iPhone是唯一的受信任设备，丢机就等于丢了恢复路径：这是"自我依赖"错误。
- 上层保持安静。 "已找到手机"的消息制造紧迫感，诱使机主立刻动用上层。正确的反应是自己打开"查找"或自己输入 icloud.com/find，不点链接。
丢失iPhone时的正确步骤
以下步骤仅依据Apple官方指南（support.apple.com，于2026年10月24日核对）。
- 用"查找"定位设备。 在另一台Apple设备上使用"查找"应用、使用家人共享群组成员的设备，或自己输入 icloud.com/find。登录 icloud.com/find 不需要验证码，因此即使受信任设备丢失也能操作。
- 标记为丢失（Mark As Lost／丢失模式）。 越早开启越好。设备会被密码锁定，Apple Pay卡片会被暂停。如果设备是被盗，Apple建议不要在锁定屏幕上留联系信息，因为骗子可能利用这些信息行骗。
- 不要将设备从"查找"或账户中移除，即使已远程抹掉设备。移除设备就是解除激活锁，帮骗子抹掉并转卖手机。如果有含盗窃和丢失保障的AppleCare+，在理赔获批之前不要移除设备。
- 不要自己去取回设备。 如果设备出现在地图上的陌生地点，请报警（当地执法机关）。警方可能会询问设备序列号。
- 联系运营商挂失，并申请暂停服务（锁定SIM卡）。
- 更改Apple ID密码并检查账户。 在另一台受信任设备上或在 account.apple.com：查看设备列表、电子邮件、受信任电话号码和恢复方式。发现异常更改就改回来，并更改Apple ID密码。如果设备未开启"查找"，请立即更改Apple ID密码。
- 在用尽办法找回之后再远程抹掉设备（此操作无法撤销）。仍将设备保留在"查找"中。
- 警惕冒充Apple的消息。 Apple绝不会联系你说你的iPhone已被找到。不要向任何人透露设备密码、账户密码或验证码；不要把它们输入别人发来的网站。可将可疑邮件或可疑短信的截图转发至 reportphishing@apple.com。
Apple官方来源：
- If your iPhone or iPad was stolen: https://support.apple.com/en-us/120837
- How to find your lost iPhone or iPad: https://support.apple.com/en-us/101593
- Mark a device as lost in Find My on iPhone: https://support.apple.com/guide/iphone/mark-a-device-as-lost-iph7cc193cfc/ios
- Use Lost Mode in Find Devices on iCloud.com: https://support.apple.com/guide/icloud/use-lost-mode-mmfc0f0165/icloud
- Recognize and avoid social engineering schemes: https://support.apple.com/en-us/102568
- What to expect when in contact with Apple Support: https://support.apple.com/en-us/120569
2.4 常见错误
- ROOT里放了太多东西，例如用ROOT账户登录所有服务。
- 用托管在该基础设施所管理域名上的邮箱登录基础设施（注册商、DNS）。
- 同一层级的账户之间交叉恢复。
- 用ROOT级别的重手段保护LEAF，徒增锁死风险，得不偿失。
2.5 检查清单
2.6 练习
- 把你正在使用的20个账户分到四个层级。其中有多少其实是LEAF？
- 从"丢失所有设备"开始，写出你的回归路径。
- 从2.2节选择ROOT的两种方式中选一种，写出管理其风险的3项措施。
2.7 小结
- 四个层级并不平等；按层级保护，而不是平均保护。
- 恢复单向流向ROOT。
- "叶子允许死掉"；ROOT不行。