AnyDesk 极速远控
🔒 TLS 1.3 · 零信任就绪
安全，是速度的基石
没有信任保障的极速连接只是隐患。本文从加密协议、权限模型到合规审计，构建 AnyDesk 安全全景图。
AES-256 传输加密
TOTP 双因素
ISO 27001 认证
加密与认证技术参数
TLS 1.3 (AES-256-GCM)
ECDHE P-256
RSA 2048 / 证书
TOTP (RFC 6238)
RSA-SHA256
bcrypt 哈希
权限分级模型对比
| 权限级别 | 可执行操作 | 适用角色 | 风险等级 |
|---|---|---|---|
| 仅查看 | 观看屏幕、聊天 | 审计员、学员 | 低 |
| 标准控制 | 键鼠操作、剪贴板 | 技术支持 | 中 |
| 文件传输 | 双向文件拖拽 | 运维工程师 | 中高 |
| 系统管理 | 重启、任务管理器、注册表 | 高级管理员 | 高 |
| 无人值守 | 无需确认直接连接 | MSP / 自动化 | 最高 |
独特观点：最小权限原则比加密更重要
2024 年 AnyDesk 遭遇凭证泄露事件后，官方强制重置所有 Web 门户密码并引入强制 2FA。这一事件给我们的启示是：再强的加密也挡不住被窃取的无人值守密码。我们建议企业为不同角色创建独立权限配置文件（Profile），而非全员使用同一「超级管理员」密码。
零信任部署检查清单
网络层
- 部署 On-Premises 中继，禁止客户端直连公网中继
- 防火墙仅放行 TCP 443 至中继服务器
- 启用 VPN 叠加，双重隧道保护
身份层
- 所有管理员账户启用 TOTP 2FA
- 无人值守密码 ≥20 位，每 90 天轮换
- 地址簿按部门隔离，禁止跨部门 ID 访问
审计层
- 开启会话录制并自动归档至 SIEM
- 配置连接/断开邮件通知
- 每月导出连接日志进行异常分析
终端层
- 通过 GPO/Intune 锁定 AnyDesk 版本
- 禁止便携版运行（仅允许服务化安装版）
- 被控端屏幕显示「正在被远程连接」水印
合规认证对照
| 标准/法规 | AnyDesk 符合项 | 需用户配置项 |
|---|---|---|
| GDPR（欧盟） | 数据驻留可选、DPA 协议 | 选择 EU 中继节点 |
| ISO 27001 | AnyDesk GmbH 已认证 | 内部策略对齐 |
| HIPAA（美国医疗） | 加密传输、审计日志 | BAA 协议签署 |
| 等保 2.0 三级 | 身份鉴别、访问控制、审计 | 2FA + 日志留存 6 个月 |
安全 FAQ
AnyDesk ID 会被暴力猜测吗？
AnyDesk ID 为 9–10 位数字（如 123 456 789），搜索空间约 10 亿。配合连接密码（即使 8 位混合字符也有 10^14 级空间），暴力破解在实践上不可行。但泄露的无人值守密码仍是最大威胁向量。
如何检测未经授权的 AnyDesk 安装？
Windows：检查服务「AnyDesk Service」及注册表 HKLM\SOFTWARE\AnyDesk。可用 SCCM 基线扫描或 CrowdStrike 自定义 IOA 规则监测 anydesk.exe 进程创建。
会话数据经过哪些服务器？
点对点直连成功时，数据不经过中继。NAT 穿透失败时，流量经就近中继节点（如 relay-cn.anydesk.com）转发，但仍保持 TLS 端到端加密，中继无法解密画面内容。