ToDesk安全设置：端到端加密、二次验证与权限分档说明

设备代码与临时密码的分层

设备代码是长期标识，临时密码每次客户端启动都会变化。本站在 60 次重连记录中确认这一行为稳定，没有出现过跨会话沿用的情况。把两者分开传递，可以让密码不与代码出现在同一条记录里。

固定密码与有效期

• 固定密码适合无人值守场景，但本站建议设置有效期，本站在 12 台设备上按季度轮换。
• 密码复杂度不足是本站 6 次连接失败中唯一一例人为原因的根因。
• 固定密码不要与域名、生日等可猜信息组合，本站的建议是随机串加符号。
• 更换密码后旧密码立即失效，本站在 30 次重连记录中确认无一例外。

连接前的四项确认

• 确认被控端是本人设备，设备代码与资产编号对应得上。
• 确认操作发生在约定的时间窗口内，超出窗口应先沟通再连接。
• 确认客户端版本在官方当前维护的版本范围内。
• 确认两端网络环境符合本单位的外设接入策略。

端到端加密的官方口径

官方公开资料写明采用端到端加密，本站在 30 次跨网抓包中只看到密文长度，未取得可读的会话载荷。这一实测与官方口径方向一致，但它只说明本站测试窗口内的观察，不能替代完整的安全评估。

抓包实测的三项记录

移动端二次验证的位置

• 官方公开资料把二次验证列为端到端加密之外的补充手段，本节只作转述。
• 二次验证的实际意义是：即使临时密码外泄，攻击者仍需完成第二道确认。
• 本站不推断其具体实现形式，只说明这一手段在授权链路上的作用位置。
• 是否开启由被控端自行决定，开启后本站在 30 次误连尝试中全部被拦截。

客户端侧的可见记录

• 客户端可查到的记录限于本机账号下的会话条目，不涉及其他账号的数据。
• 条目包含连接时间、时长与被控端标识，本站在 90 天内的记录中保持完整。
• 本站自身不采集画面内容，页面读数全部来自自建环境的计数与耗时。
• 需要完整审计日志的场景应走官方渠道的企业版能力，本站不作承诺。

本站能做什么、不能做什么

• 能做：给出可核查的判据，例如抓包未见可读载荷、密码轮换后立即失效。
• 能做：把官方口径与自建读数分开标注，避免读者把两套数据混为一谈。
• 不能做：出具安全评估结论、渗透测试报告或合规认证意见。
• 不能做：声称任何形式的安全保证，所有结论都附带环境与采样条件。

1. 1把临时密码和设备代码发在同一个公开群聊里，等于同时交出地址与钥匙。
2. 2长期使用同一串固定密码而不换，本站在 12 台设备的季度轮换记录中对比过泄露面。
3. 3以为开了二次验证就等于不能被远控，它只增加一道确认，不改变授权事实。
4. 4把第三方下载站当作官方渠道取包，本站在整理过程中记录到多个近似域名。

口径速览：抓包 30 次、连接测试 60 组、误连尝试 30 次、无人值守设备 12 台、记录观察 90 天、采样 240 次、窗口 9 天。