第5章
无循环恢复
5.1 学习目标
- 为所有重要账户绘制恢复地图（recovery map）。
- 发现并拆除恢复循环（circular recovery）。
- 区分恢复联系人（在世时）和遗产联系人（去世后）。
5.2 概念
恢复循环
邮箱A恢复邮箱B，邮箱B恢复邮箱C，邮箱C恢复邮箱A。当三者都向一部已丢失的手机索要2FA时，就无从下手。恢复循环就是系统自杀。
恢复地图
每个账户是一个节点。从X指向Y的箭头表示"X由Y恢复"。一张正确的地图必须：
- 没有环（循环）。
- 所有路径最终都通向ROOT。
- 每个重要节点至少有2条独立的恢复路径。
两类联系人
| 类型 | 何时使用 | 目的 |
|---|---|---|
| 恢复联系人 | 你在世但失去访问权时 | 帮你验证身份、取回账户 |
| 遗产联系人 | 你去世后，凭有效文件 | 帮家人访问数据（照片、文件）。在你在世时救不了你 |
5.3 示例
A先生的旧地图：
| 账户 | 由……恢复 | 问题 |
|---|---|---|
| 个人邮箱 | 工作邮箱 | 循环 |
| 工作邮箱 | 个人邮箱 | 循环 |
| 密码管理器 | 个人邮箱 | 个人邮箱又需要管理器里的密码 |
| 注册商 | 邮箱 ***@example.vn | 邮箱就在该注册商管理的域名上 |
新地图：
| 账户 | 由……恢复（路径1） | 路径2 |
|---|---|---|
| 邮箱 ***@example.vn | 域名 example.vn（ROOT） | 纸质恢复码 |
| 个人邮箱 | ***@example.vn | 硬件密钥 |
| 工作邮箱 | ***@example.vn | 组织管理员 |
| 密码管理器 | 离线应急包 + 主密码 | 第二把硬件密钥 |
| 注册商 | 个人邮箱（不在该域名上） | 身份证件 |
5.4 常见错误
- 只检查短循环（A ↔ B），忽略长循环（A → B → C → A）。
- 恢复电话号码是旧号码，或是已离职人员的号码。
- 把遗产联系人误当作帮助恢复的人。
5.5 检查清单
5.6 练习
- 绘制你的恢复地图，数一数有几个环。
- 针对每个环，提出用更高层级的东西打破它的方法。
- 给家人写一页指引："如果我不在了，请按这个顺序操作"。不写秘密，只写存放位置。
5.7 小结
- 恢复地图必须是无环图，所有路径都通向ROOT。
- 每个重要账户要有两条独立路径。
- 遗产联系人在你不在时挽救数据；在你在世时救不了你。