重装系统并没有吊销被盗的 VPN 凭据

擦除一台已被入侵的笔记本，感觉像是事件的终点。它通常是中点。从这台机器上复制走的密码、会话令牌或导出的 VPN 配置文件会完整地挺过重装，因为格式化磁盘的任何动作都到不了接受它的服务器。设备恢复和账户恢复是两项时钟不同的工作。

两起事件，两只时钟

设备侧的工作是本地且快速的：重建、打补丁、恢复数据。账户侧的工作是远程且更慢的，因为它取决于服务商公开了什么，以及你是否还掌握着恢复渠道。先做快的那部分显得很高效，却把真正的暴露原封不动地留在原地。

在账户侧工作完成之前，把笔记本当作不可信设备。用它去做账户恢复，等于使用一台可能已经装有键盘记录器的机器。

决定顺序的三个条件

在动手之前先弄清这些，因为它们决定恢复是花十五分钟，还是要升级到客服支持。

第一，设备上有什么：你输入过的密码、带私钥的客户端证书、保存的会话令牌，还是三者都有。第二，服务商允许你自行吊销什么，因为有些服务会公开设备和会话列表，另一些只给一个密码输入框，别的都没有。第三，恢复渠道是否还在你手里，也就是绑定该账户的邮箱和手机号。如果第三项已被攻破，其余一切都要等。

把答案写下来。说不清被复制了什么的事件，就是关不掉的事件。

替换可以被重放的东西

任何可以被重放的东西都必须替换，而不只是在新机器上改掉。密码、设备证书和导出的配置文件都算。NIST 关于认证器生命周期的指南描述了及时作废被入侵的认证器，以及在绑定另一个认证器时要求独立通知，即使消费级 VPN 公开的控制项更少，这也是这项工作的正确形态。

然后终止会话。改密码并不能可靠地让已有的令牌失效，而已经装在另一台机器上的 VPN 配置文件，在凭据被吊销之前会一直有效。要查服务文档写了什么，而不是你希望它怎样。

重建时不要把入侵一起恢复回来

重装是简单的那部分，也正是人们把自己的成果作废的地方。恢复整份备份可能把同一个已保存配置文件、同一个浏览器会话和同一个凭据存储带回来。先看清恢复究竟导入了什么，再通过受支持的流程，用新签发的材料重新登记设备。

在服务允许的地方，让各设备可以单独撤销。一台设备一个配置文件，正是这个细节让将来的事件变成一次吊销，而不是整批设备的慌乱。

决定事件何时结束

当三件事成立时，事件就结束了。合法访问能从重建后的设备正常工作。被暴露的身份已经通过你确实看得见的控制手段退役。而剩下的恢复方式，邮箱、手机号、备用码，都在你手里。一次能连上的干净安装，只满足第一条。

如果你无法检查或移除某个意料之外的认证器或恢复联系人，就走经过验证的客服流程升级。在本地重装，永远修不好一个由别人控制的恢复方式。