O3.07.3Device-loss recovery attack surface设计研究
恢复流程本身是攻击面
别名: 丢失设备恢复 · 设备接管 · lost-device recovery
概念解释
设备丢失恢复攻击面（device-loss recovery attack surface）是遗失事件触发的号码补办、云账户找回、备份恢复、新设备绑定和旧设备撤销等组合流程。攻击者若持有旧设备或先夺取通信渠道，可利用恢复窗口把“帮助所有者重新上线”反转为账户和数据接管。
机制
设备常同时保存认证器、邮箱、短信、密码库和恢复凭据，丢失会让多个独立证明一起消失。用户急于恢复服务，运营商、客服和云平台分别放宽规则，却缺少共享风险状态。攻击者可先转移号码，再重置邮箱，恢复云备份并绑定新设备，形成跨组织级联；旧设备若未及时撤销仍可保持会话。
怎么研究
用合成身份和测试设备演练“合法所有者”和“持有旧设备的攻击者”并行恢复，覆盖 SIM 或号码变更、旧邮箱、云备份、客服、设备迁移与支付钱包。建立事件时间线，记录每一步使用的证据、通知去向、等待期、权限提升和撤销传播。单个平台的合规流程不能证明跨平台组合安全。
边界
这比通用账户恢复更聚焦设备作为多个认证与数据渠道的共同故障，以及设备迁移造成的级联。不是每个遗失事件都是盗窃，也不能让防欺诈永久阻止合法用户获得通信与紧急服务。外部运营商和云商不完全受产品控制，仍应明确依赖、检测变更并降低单渠道决定权。
怎么落地
- 让丢失报告入口易发现，但把账户级高风险状态及其限制绑定到相称的身份或设备证据；未经核验的报告只能触发低影响审查，不能直接授予强制锁定、擦除或账户变更权限，并须保留被误报者恢复路径。
- 对号码变更、云恢复和新设备绑定使用独立证据与等待期，不把来自旧设备可见通知的代码作为唯一证明。
- 将通知发送到仍安全的既有渠道，避免把关键警报只发给刚被替换或可能被攻击者控制的号码。
- 恢复完成后让用户核对设备、会话、恢复联系人和钱包，撤销旧状态并保留可申诉审计轨迹。