Безопасность RudyDesk: что защищено, что видит сервер и что зависит от вас

12 апреля 2026 г.
безопасностьшифрованиеприватность

Пустить чужого человека к своему компьютеру — серьёзное решение. Ниже по пунктам: что защищено технически, что видит наш сервер и что остаётся за вами.

Что видит сервер, а что нет

Сервер нужен, чтобы два устройства нашли друг друга. Дальше экран, звук, файлы и ввод идут напрямую между ними. Если прямой путь закрыт роутером, данные идут через ретранслятор, но и он передаёт их зашифрованными и прочитать не может.

Сервер ведёт журнал безопасности: номер устройства, IP-адрес и время подключения. Он нужен для защиты от перебора паролей и разбора происшествий, ограничен по размеру и перезаписывается по кругу. Содержимое сеансов — экран, нажатия клавиш, файлы — не записывается нигде.

Шифрование

  • Экран, звук и данные защищены DTLS-SRTP: ключи создаются на устройствах, у сервера их нет
  • Удалённая командная строка шифруется отдельно: ключ выводится по ECDH, команды — AES-256-GCM, для каждого сеанса ключи новые

Пароль не уходит на сервер

Новые версии приложения не передают пароль устройства вовсе. Подключающийся доказывает, что знает пароль, ответом на одноразовый вызов; перехваченный ответ повторно не сработает.

Перебор пресекается: после 5 неудачных попыток — пауза 5 минут, после 15 — час, после 30 доступ закрывается, и снять запрет можно только с самой машины.

Без вашего согласия никто не подключится

Каждое подключение нужно подтвердить на компьютере. Если просьба пришла от незнакомого устройства, окно предупреждает о мошенниках: настоящие банки и службы поддержки не просят удалённый доступ по телефону.

Входящее подключение: предупреждение о мошенниках и кнопка «Только показать экран»
Входящее подключение: предупреждение о мошенниках и кнопка «Только показать экран»

Кнопка «Только показать экран» разрешает смотреть, но не трогать: мышь, клавиатура, файлы, буфер обмена и терминал собеседнику недоступны. Это проверяет сам компьютер, а не приложение собеседника.

Ссылка-приглашение

Ссылку можно отправить вместо номера и пароля. Она одноразовая, действует 15 минут и сразу стирается из адресной строки. Подтверждать подключение всё равно нужно.

Код сеанса

Рядом с замком на панели сеанса — короткий код. Он вычисляется на устройствах из ключей шифрования и через сервер не проходит. Назовите его собеседнику по телефону: если коды совпали, между вами никто не встал.

Журнал действий

Владелец видит, кто подключался, когда и сколько, а под каждой записью — что делали: какие файлы приняли, открывали ли терминал, пользовались ли буфером обмена. Нажатия клавиш и вставленный текст не записываются — это была бы слежка, а не журнал.

Двухфакторный вход и списки доступа

Поддерживается TOTP — Google Authenticator, 1Password, Aegis и другие. При включении выдаются пять кодов восстановления: запишите их на случай потери телефона. Можно задать белый список: подключаться смогут только перечисленные номера, остальные получат отказ без вашего участия.

Подписанные обновления

Каждое обновление подписано ключом RudyDesk. Приложение проверяет подпись и SHA-256 перед установкой и откажется ставить подменённый файл. Отпечатки всех файлов опубликованы на странице загрузки.

Что зависит от вас

  • Никогда не разрешайте подключение тому, кто позвонил сам и представился банком или «техподдержкой»
  • Задайте длинный пароль, не такой, как на других сайтах
  • Включите двухфакторный вход на машине, к которой подключаются без вас
  • Если не уверены, разрешите только показать экран