Splashtop On-Prem 資安定位分析 — SAML、CyberArk、廠商存取

日期：2026-04-07 技術棧：Splashtop Business On-Prem / SAML 2.0 / PAM

---

TL;DR

Splashtop On-Prem 是遠端桌面連線工具，不是 PAM（特權帳號管理）平台。它選 SAML 不選 RADIUS 是因為應用層產品天然適合 SAML；它無法取代 CyberArk 的密碼保管庫和自動輪換，但在「廠商遠端維護」場景下，Splashtop 的帳號到期 + 排程存取 + 連線錄影已能覆蓋大部分需求。

---

為什麼 Splashtop 選 SAML 不選 RADIUS

協定定位不同

	RADIUS	SAML 2.0
設計場景	網路層認證（VPN、Wi-Fi、撥接）	應用層認證（Web / Cloud 應用）
協定	UDP，port 1812/1813	HTTPS，port 443
認證方式	帳密 → RADIUS Server 驗證	瀏覽器跳轉 → IdP 驗證 → 回傳 assertion
MFA 整合	需額外串接	IdP 原生支援（Entra ID / Okta 內建 MFA）
條件式存取	無法附帶 context	IdP 可附帶設備合規、地理位置、風險等級

Splashtop 選 SAML 的理由

1. 應用層產品：Splashtop 的登入流程是 client app → gateway，走 HTTPS，天然適合 SAML。RADIUS 是給 VPN concentrator、switch、AP 用的。
2. MFA 由 IdP 負責：透過 SAML SSO，MFA 交給 IdP 處理，Splashtop 不用自己實作每種 MFA 協定。
3. Conditional Access：SAML/OIDC 的 IdP 可附帶條件式存取策略，RADIUS 做不到。
4. 防火牆友善：RADIUS 走 UDP 穿越防火牆困難，SAML 走 443 天然通。

業界趨勢

CyberArk 官方建議從 RADIUS 遷移到 SAML，理由是 RADIUS 的 shared secret 機制相對脆弱。Microsoft 也建議 VPN 升級到 SAML 直接聯邦 Entra ID。

---

Splashtop vs CyberArk — 定位差異

功能對照

功能	Splashtop On-Prem	CyberArk PAM
定位	遠端桌面連線工具	特權帳號管理平台
核心功能	遠端連到一台電腦操作	密碼保管庫 + 自動輪換 + 特權 session 代理
密碼管理	無	集中保管，使用者不知道密碼
Session 錄影	連線畫面錄影	特權 session 錄影 + 指令層級稽核
JIT 權限	帳號到期自動停用	臨時授權，時間到自動收回
密碼輪換	無	自動輪換，策略驅動
價格帶	低（遠端工具級）	高（企業資安級）

關鍵差異：密碼是否可繞過

CyberArk：所有特權操作必須經過 CyberArk，因為只有 CyberArk 知道密碼。使用者無法繞過——密碼每次用完自動換掉。

Splashtop：使用者透過 Splashtop 連線到目標機器的畫面，但如果知道目標機器的帳密，理論上可以繞過 Splashtop 從其他通道登入。

---

廠商遠端維護場景分析

雖然 Splashtop 無法完全取代 CyberArk，但在「給廠商臨時存取」這個特定場景下，Splashtop 的覆蓋度很高。

需求對照

需求	CyberArk 做法	Splashtop 做法
給廠商臨時帳號	建 user + safe + policy	建 Member 帳號，設到期日自動停用
限定連線時段	Policy time window	排程存取
全程錄影	PSM session recording	內建連線錄影
限定存取範圍	Safe + Target 設定	指派可存取的設備清單
做完自動收回	手動或 script	帳號到期自動停用

架構上的「間接密碼隔離」

Splashtop 雖然沒有密碼保管庫，但在遠端桌面架構下：

• 廠商拿到的是 Splashtop 帳號，不是伺服器帳號
• 廠商透過 Splashtop 連到 VM 的桌面畫面，不是直接拿到密碼
• 停用 Splashtop 帳號後，廠商連 Splashtop 都打不開
• 如果目標機器的網路只允許透過 Splashtop Gateway 存取（無其他入口），知不知道密碼影響有限

這不等於 CyberArk 的密碼注入（廠商從頭到尾不接觸密碼），但對於「廠商維護」場景已經是可接受的安全等級。

Splashtop 確實做不到的

1. 密碼自動輪換：CyberArk 每次 session 結束可自動換密碼，Splashtop 需手動定期更換。
2. 密碼注入：CyberArk 的 PSM 讓廠商在不知道密碼的情況下操作，Splashtop 沒有這個機制。

---

建議定位策略

不要用「取代」的框架，而是依場景選擇工具：

• 廠商遠端維護（臨時帳號、限時、錄影）→ Splashtop 更簡單、成本更低
• 核心系統特權帳號管理（密碼保管庫、自動輪換、合規稽核）→ CyberArk 仍有不可替代的價值
• 並存方案：CyberArk 管核心系統特權帳號，Splashtop 處理日常遠端維護和廠商存取。降低 CyberArk 使用頻率，減少操作痛點，又不犧牲核心系統安全。

---

參考資料

• Splashtop Account Expiration for Temp Access — 帳號到期自動停用功能
• Splashtop Scheduled Access (On-Prem) — 排程存取設定
• Splashtop JIT Third-Party Access — JIT 廠商存取架構
• CyberArk: Moving from RADIUS to SAML — RADIUS 遷移 SAML 的理由
• Microsoft: RADIUS auth with Entra ID — Microsoft 建議 VPN 升級 SAML
• RADIUS vs SAML Key Differences — 協定比較
• Splashtop SSO Features — SAML/OIDC SSO 支援