新加坡 · 企业远程桌面
访问权是一条授权记录，不是一串密码。
这一页写给需要向自己公司的 IT 或合规解释「这东西凭什么可以进公司」的人。每一节都先说机制，再说这个机制不覆盖什么 —— 两者一起显示，不折叠。
谁能连这台机器？
默认免密，按控制端逐台授权。
被控端默认运行在 account_trust 模式，只认可受信任的控制端密钥。每条设备授权有明确对象，默认 30 天到期，最长可配置为 90 天，并且可以撤销 —— 撤销之后同一把密钥不能直接重新申请。在这一模式下，仅仅拿到账号登录密码并不足以连上任何机器，还需要那台已获授权的控制端本身。
这一条的边界
固定密码(Argon2id)与被控侧逐次签发的一次性码是两个互斥的可选模式，不能把默认模式说成唯一模式。密码模式保留给跨账号等用途。这也不代表支持「重启后、用户尚未登录时」远控。撤销依赖快照刷新传达：正常链路下确认后约 60 秒内，被控端拒绝该控制端的新连接；已经建立的会话不会因撤销自动断开，需在被控端结束。这一时间不是断网场景的保证，也不是服务等级承诺。
| 模式 | 凭据 | 状态 |
|---|---|---|
| account_trust | 受信控制端密钥 | 默认 |
| permanent_password | 固定密码(Argon2id) | 可选 |
| one_time | 被控端逐次签发的一次性码 | 可选 |
控制端私钥放在哪里？
私钥在本机生成，由本机硬件安全模块加密封存，不上传服务器。
负责封存的硬件：macOS 为 Secure Enclave，Windows 为 TPM，Android 为 StrongBox(设备不支持时为 TEE)。签名时私钥在本机内存中解封，因此这不是「私钥不出硬件」。签发用的根信任材料由与业务服务分离的组件持有；顶层 ROOT 托管于离线仪式机，不联网。
这一条的边界
这不是「所有设备上的所有私钥都不出硬件」的说法。被控端的 host.key 是一个明文文件。在 Windows 上，以同一用户身份运行的恶意程序可以读取已解锁的控制端密钥。因此不能由此推断：一台被控机被入侵之后它的密钥仍然安全。
| 在哪一端 | 加密封存于 |
|---|---|
| 控制端 · macOS | Secure Enclave |
| 控制端 · Windows | TPM |
| 控制端 · Android | StrongBox(不支持时为 TEE) |
| 被控端(全平台) | host.key 明文文件 |
能批准访问的人，也能改治理权限吗？
两者是分开的操作，但在当前版本中并不由相互独立的凭据把守。
日常授权(设备授权)用账号动态码批准，由网页后端校验；治理变更由密钥机按自己的动态码校验。治理集合决定谁能参与账号治理，设备授权决定哪台控制端能获准访问。在当前版本中，密钥机的动态码与网页登录的动态码并不相互独立，因此我们不宣称「拿到一套凭据就不可能同时具备两项职责」。签发侧还独立强制每账号最多 255 条设备授权，把套餐额度调大也突破不了它。
这一条的边界
职责分离不等于每条设备授权都要经过密钥机人工批准 —— 该人工因素已在设备授权签发链路上移除。因此 API 被攻破仍然可能签出设备授权，只受 255 条硬上限与有效期约束，也可能提交治理变更。我们不写「单一凭据泄露就不可能拿到访问权」,255 条上限也不等于能消除一次入侵的影响。
| 事项 | 所需凭据 | 作用范围 |
|---|---|---|
| 日常授权 | 账号动态码 | 这台控制端能不能做远控 |
| 账号治理 | 密钥机动态码(当前版本与登录动态码不独立) | 哪些控制端进入治理集合 |
每次连接都要回问服务器吗？
不用。被控端按一份签名的信任快照做本地判断。
v4 快照是一份带版本号的有效授权清单。被控端会验证签名与结构，把治理密钥和生效的设备授权映射成它认可的控制端集合，并拒绝版本号倒退的快照。篡改过的快照通不过签名校验。
这一条的边界
本地判断不等于永久离线授权，也不等于即时撤销。快照约每 30 秒刷新一次；在正常刷新链路下，批准与撤销约 60 秒内传达。撤销传达后阻止新连接，不会断开已经建立的会话。网络中断时不承诺这个时间。
- 1验证签名与结构
- 2检查版本号，拒绝倒退
- 3按其中生效的授权集合判断
无论你读到哪一节，这几条都成立
- 目前没有 SOC 2、ISO 27001 认证，也没有第三方安全审计。
- 抗量子混合握手是设计说明，不是审计结论；它自 4.1.17 起才真正生效,ML-KEM 尚未经第三方安全审计。
- 没有私有化部署产品。
- 重启之后、用户尚未登录时，被控端不在线 —— macOS 和 Windows 都一样。