MeldID 添加了恐慌模式：当无法再信任账户访问时会发生什么
MeldID 引入了应对特殊情况的新保护机制：延期密码更改、自动终止恢复流程（无需移动应用）以及可以撤销活跃访问权限、阻止未完成密码更改请求而又不删除用户数据的恐慌模式。
在我之前关于 MeldID 的文章中，描述了系统在常规模式下的工作方式：存储可管理的配置文件，帮助登录已连接的服务，设备间同步 TOTP 记录，以及通过移动应用确认新的授权请求。
但任何身份认证系统都存在一种场景，通常被人们在为时已晚时才想起：如果用户不再信任自己的账户访问状态时，应该怎么办？
其实，不一定要知道已经发生了被攻破。有时候，只是一封意外的密码重置通知，一次未知的会话登录，或者来自未识别设备的登录，都已足够引发担忧。
为应对这些情况，MeldID 推出了两个新机制：延期密码更改和恐慌模式。
首先理解 MeldID 密码的工作原理很重要
在 MeldID 中，用户不自行设置密码——密码由系统生成。这可以立即排除密码过于简单、易预测、反复使用常用密码等问题，避免用户自行选择带来的潜在安全风险。
而且，现行密码不会通过电子邮件发送给用户。邮件账户不是获取现有 MeldID 密码的途径。
密码恢复流程也不会透露旧密码，只会启动新密码的生成流程。
因此，邮箱被攻破带来的潜在风险是：夺取邮箱访问权限的人虽然不知道有效的 MeldID 密码，但可以尝试通过恢复流程设置新密码。
这一场景促使我们改变了密码恢复的逻辑设计。
密码现在不会立即更改
在传统的密码恢复中，请求新密码几乎立即生效。用户请求后，会收到确认邮件，操作顺利完成。
这对于邮箱安全只是由用户自行掌控的状态来说，是非常便利的。但是，如果邮箱被他人获取控制权，这种即时恢复就变成了攻击者直接获得账户控制的途径。
在 MeldID 中，密码请求首先变成一个警示，而不是立即替换旧密码。用户会收到恢复尝试的通知，随后启动一个等待期。
这个等待期的长短可以调整，但核心原则是一样的：从请求到新密码实际激活之间，留有时间进行安全审核。
在这个过程中，旧密码仍然有效。因此，发起恢复请求本身并不意味着账户已移交控制权。
应用程序不可用时怎么办
有一个重要场景容易被忽视：用户可能在请求密码恢复时没有访问 MeldID 手机应用。比如，手机遗失、损坏、没电或者暂时不能使用。
在这种情况下，恢复流程依然可以完成。等待期结束后，新密码会自动生效。标准的恢复流程并不依赖于手机应用的可用性。
因此，如果用户自己发起了密码更改请求，但目前无法打开应用，也无需重新开始流程。只需等待其完成，然后用新密码登录即可。
如果应用可用，用户还可以立即激活新密码、或者取消异常请求。没有应用时，延期恢复的机制依然有效。
用户自主决定下一步
如果恢复请求由账户持有人发起，并且应用可用，用户可以立即在 MeldID 中激活新密码，无需等待等待期结束。
如果请求令用户惊讶，可以在应用中取消，待恢复流程结束后仍用旧密码登录。
我认为这是对恢复逻辑的重大改进：系统不会仅凭电子邮件发起的请求自动视为有效，而是让账户持有者通过受信任的移动设备做出决策。
举个例子：用户收到密码更改通知，但并未发起请求，此时可以在应用中取消操作，然后调查邮件、设备等是否存在异常活动。
MeldID 无法控制被攻破的邮箱内容，但能阻止邮箱被攻破后立即通过重置开启新密码，保护主体账户安全。
恐慌模式可以撤回活跃访问权限
延期密码更改让用户赢得时间，而恐慌模式则应对更紧急的情况——当用户认为已不安全、必须立即终止所有此前的访问权限时使用。
它可以通过移动应用一键启动。
激活后，系统会撤销所有有效的令牌和访问权限，包括移动端、Web端的会话，甚至其他设备已登录的会话。
这不仅影响当前手机的登录，还会影响到其他设备、平板、浏览器以及已连接的应用。
恐慌状态持续一段时间，这段时间长度可以调整，其核心原则是：所有现存的访问权限立即无效，用户由系统提供安全的窗口进行安全检查。
恐慌模式不删除数据
这个模式的名称可能听起来激烈，因此强调它不会删除用户数据。
恐慌模式不会删除 TOTP 记录、存储的配置文件、偏好设置或其他个人信息。它不清空账户内容，也不会变成空白账户。
唯一变化的是访问权限：有效令牌被撤销，开放会话终止。恢复正常状态后，数据依然存在，无需重新添加。
这是紧急切断访问和彻底删除数据的根本区别。用户可以断开连接，无需担心配套数据（如记录、设置）会被擦除。
在恐慌模式下密码会发生什么变化
恐慌模式还有一个重要规则：它会终止所有未完成的密码更改请求。
不论请求是在进入恐慌前还是在其期间发起，未完成的密码更改都不会在退出保护状态后自动生效。
结束恐慌后，将沿用在激活前设定的密码。
这是特意设计的机制。
普通的恢复流程假设用户可以在 MeldID 中看到可疑请求，随时取消。然而在恐慌状态下，这个假设不再成立。
例如，用户在发现可疑活动后启用了保护模式，如果让普通恢复定时器继续运行，攻击者可能会在恐慌期间发起新密码请求。等待期结束时，新密码可能已经生效，账户还未恢复正常。
这就会出现矛盾：用户激活了防护措施，但系统在此期间仍允许密码被修改，用户无法依靠正常途径取消。
因此，恐慌状态不会暂停恢复，而是中断未完成的请求。
在恐慌激活之前发起的请求，不能在之后生效，恐慌期间的请求也无效。
任何未完成的恢复流程都不会越过恐慌的边界得以恢复。
如果用户希望先修改密码
恐慌模式不限制用户的主动操作：如果用户有 MeldID 应用且希望修改密码，可以先在应用中发起密码更改，确认新密码，然后再启用恐慌状态。
这样密码会在恐慌前就已成功更新，继续保持有效。
或者，用户可以先激活恐慌，处理完异常情况后，再根据需要发起新的密码更改流程。
机制的核心不是强制执行唯一流程，而是在于：未完成的密码更改不能在恐慌状态中持续存在，必须被打断。
恐慌模式可以帮你恢复对邮箱的控制
这个机制特别适用于一种场景：用户认为问题不在 MeldID 或手机，而在邮箱本身。
因为邮箱用作恢复通道，一旦被攻破即可能危及账户安全，即使 MeldID 密码仍未知的情况下也是如此。
此时用户可以启动恐慌，集中精力解决邮箱的问题：恢复邮箱访问、更改密码、终止未知会话、检查安全设置等。
在恐慌期间，MeldID 不允许通过恢复流程产生新密码。
如果在恐慌激活前已经发起过恢复请求，则该请求会失效。如果在恐慌中再次发起恢复请求，也会被中断。
这样形成一个安全的短暂窗口：此时 MeldID 的所有访问权限都已收回，潜在受损的邮箱不能用以快速设置新密码，用户也有时间重新夺回邮箱控制权。
待安全措施结束后，原密码依然有效，如果邮箱控制权得以恢复且没有其他异常，用户即可正常使用账户。
如果用户在此基础上需要修改 MeldID 密码，也可以单独操作。
激活恐慌的原因多种多样
无需证明被攻破的事实即可启动：手机可能被他人拿走，设备列表出现未知会话，突然收到登录或恢复的通知，有时只是多种迹象叠加造成的怀疑。
在这种情况下，用户无需在第一时间进行深入调查，可以优先断开所有活跃会话，再逐步调查详细情况。
MeldID基于逻辑：如果账户持有人觉得局势危险，有可信应用，有一定怀疑，就应立即采取保护措施，而不必等待证据完全确认。
为什么单一密码更改不够保险
密码只是认证的一个环节。如果已有激活会话或已发放访问令牌，仅更改密码并不能等同于撤销之前的所有访问权限。
因此，恐慌模式的效果更为广泛：它不仅是简单的密码参数变更，而是将整个账户状态切换到一种特殊的保护状态中。
操作流程如下：
撤销所有活跃的会话和令牌；
终止在恐慌前已发起但未完成的密码更改请求；
在恐慌期间发起的恢复请求，不能在恐慌结束后立即生效；
账户保持进入恐慌状态时使用的密码；
用户获得时间检视邮箱、设备和其他潜在威胁；
退出恐慌状态后恢复正常工作，或视情况主动更改密码。
这并不是普通安全机制的替代方案，而是用于特殊紧急情况下的应急情景：在信任丧失时的临时保护措施。
移动应用作为可信控制点
新功能可在 MeldID iOS 和 Android 应用中使用。手机不再是仅仅用来登录的设备，而是账户安全的信任控制点。
通过应用，可以：
确认延期密码更改；
取消异常请求；
激活恐慌模式；
终止多个设备上的活动会话；
设置后续账户管理行为。
应用不会替代 TOTP，也不替代其他防护手段，而是在已有验证基础上，提供额外的安全管理通道，适用于经典验证无法保证安全的场景。
MeldID 的安全边界在哪里
区分 MeldID 安全机制本身和使用环境的安全性是很重要的。
MeldID 设计的原则是：系统不会通过常规渠道传输有效密码。密码由系统生成，不由用户选择，也不会用邮件提供。恢复流程不会泄露旧密码，只会启动新密码生成。
用户仍然有可能在其他场景中泄露密码，比如将密码告知他人或在不适宜的地方输入。
另外，设备本身及其操作系统的安全性也是关键。移动应用运行在 iOS 和 Android 提供的保护机制内，无法取代平台本身的安全保障。
因此，MeldID 对其侧能够控制安全风险的点：配置生成、授权、令牌、会话、恢复流程等进行安全设计和限制。
从登录到响应
我最初认识 MeldID 时，认为它是统一的身份识别和配置管理系统。随着移动应用的推出和新保护机制的加入，这个描述变得过于狭隘了。
如今，它不仅回答“怎么登录”的问题，还能应对更复杂的场景：
遇到意外恢复请求时应如何应对；
在无法访问应用的情况下，如何恢复账户；
在激活新密码前，应如何获得时间进行安全检查；
如何取消非账户所有者发起的恢复；
如何撤销活跃会话；
在紧急状态下，如何防止被攻破的邮箱修改密码；
如何重新夺回恢复渠道的控制权；
在终止所有访问后，如何保护用户数据；
如何确保安全检查后恢复正常工作。
最终形成了一个逐步完善的保护模型。
有效的密码不会通过恢复渠道传输。只有在邮箱被攻破后，攻击者通过邮箱发起的密码请求才可能威胁账户安全。而正常情况下，恢复流程会有延时，也可以通过可信应用拒绝或取消请求。
如果这些还不足以保障安全，恐慌模式会终止所有会话，撤销所有令牌，拒绝未完成的恢复请求，从而在临界时刻阻断潜在的威胁路径，为用户赢得足够的时间检测和应对。
用户可以获得最宝贵的时间：重新夺回邮箱、检测设备、调查事件、最终再恢复正常访问。
这也是为何 MeldID 的恐慌模式不仅仅是“退出所有地方”的按钮，更是信任丧失时的应急响应方案，确保在信任被破坏的瞬间，获得安全缓冲和控制权的时间窗口。
项目详情：meldid.de 。