Veiligheidsmodel

Hoe WindowsHelper jou rekenaar + jou foon beskerm, watter kriptografie ons gebruik, en waarteen ons uitdruklik nie verdedig nie. Laas opgedateer: 2026-04-25.

Paring-kode lewensiklus

Die paringskode is die gedeelde geheim waaruit elke ander kripto-bewerking afgelei word. Die volle lewensiklus:

[ Foon GENEREER 'n lukrake kode van 8 karakters ]
   ↓
[ Foon SKRYF kode + sessionId na Firestore in die pc_connections-dokument ]
   ↓
[ Foon WYS die kode op die skerm aan die gebruiker ]
   ↓
[ Gebruiker LEES die kode en tik dit in Companion se invoerveld ]
   ↓
[ Companion SOEK in Firestore na 'n wagtende sessie wat by die kode pas ]
   ↓
[ Albei kante LEI kriptosleutels af uit SHA-256(kode, sessionId) ]
   ↓
[ Kode BLY in die geheue aan albei kante; nie een skryf dit na Firestore nie ]
   ↓
[ Ontkoppel / herkoppel VEE die kode aan albei kante uit ]

• Willekeurig: kodes gegenereer via kriptografies veilige RNG'e.
• 30-karakter-alfabet × 8 posisies ≈ 656 miljard kombinasies. Sluit I, L, O, Z, 0 en 1 uit om visuele dubbelsinnigheid te vermy, nie om sekuriteitsredes nie — die koderuimte is dig genoeg dat 'n 10-minute brute-force-venster met Firestore se tarieflimiete onuitvoerbaar is.
• Word geënkripteer op hierdie rekenaar gehou. Die Companion stoor die kode in jou Windows-rekening se register, geënkripteer met DPAPI, sodat dit ná 'n herbegin weer kan koppel.
• Uitgevee wanneer jy ontkoppel en die sessie skoonmaak, die kode vervang of die app verwyder. As jy die app toemaak, bly dit behou, sodat die Companion weer kan koppel.

Kriptografie

AES-256-GCM (bevelvertroulikheid + integriteit)

Elke opdrag wat oor die draad gestuur word, word geïnkripteer met AES-256-GCM, 'n geverifieerde-enkripsie-modus.

• Sleutel: 256 bisse, afgelei as SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bisse (12 grepe), vars per boodskap gegenereer via Random.secure() op telefoon of RandomNumberGenerator op Companion.
• Auth tag: 128 bisse (16 grepe), aangeheg aan die syferteks.
• Draadformaat: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Nonce-hergebruikveiligheid: 96-bis-nonces uit 'n CSPRNG hou die verjaarsdagparadoks-botsingswaarskynlikheid op ongeveer 2⁻³² oor 2³² boodskappe met een sessiesleutel — die standaardgrens vir lukrake GCM-nonces, en ver buite enige geloofwaardige opdragvolume.

HMAC-SHA256 (bevel-egtheid)

Elke opdrag dra ook 'n HMAC-handtekening sodat 'n foon wat nie die saambindkode ken nie, nie opdragte kan inspuit nie, selfs al kan dit na Firestore skryf.

• Sleutel: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Skei van die enkripsiesleutel.
• Veld omvang: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Die pype is letterlike pypkarakters, nie afbakenings nie - drie aaneengeskakelde stringe.
• Verifikasievolgorde: die HMAC word voor dekripsie geverifieer. Vervalste boodskappe mors geen SVE-siklusse op kriptografiese bewerkings nie.

Bedreigingsmodel

Bedreiging	Status	Notas
Afluisteraar op die plaaslike netwerk	Versag	AES-GCM-syferteks is ondeursigtig vir MITM-waarnemers.
Afluister op Firestore-bedieners	Versag	Google sien AESGCM:...-blokke, nie opdragte nie.
Aanvaller wat aan Firestore kan skryf, maar nie die kode ken nie	Versag	HMAC-verifikasie misluk; Companion teken die weiering aan en weier uitvoering.
Aanvaller wat die paringskode gekraak / uitgeviss het	Oorblywende	Hulle kan opdragte uitreik asof hulle die gebruiker is. Versagting: draai die kode vanaf die skinkbordkieslys.
Herhaling van 'n opgeneemde opdrag	Oorblywende	sentAtMillis is HMAC-gebonde; die Companion dwing nog nie 'n varsheidsvenster af nie. 'n Toekomstige regstelling voeg 'n vervaltyd by.
LAN-modus ongeverifieerde aanvaller	Versag	WebSocket paar handdruk bekragtig die kode; HMAC + AES hek elke daaropvolgende opdrag.
Gekompromitteerde foon met gesteelde saambindsleutel	Oorblywende	Ononderskeibaar van "die gebruiker self." Versagting: tempolimiet (10 cmd/min) + vernietigende opdragbevestiging vereis PC-kantkliek.
Mistikte opdrag vanaf telefoontoepassing	Versag	Die foonkant se toelaatlys blokkeer onbekende voorvoegsels; die Companion-kant se voorvlugkontrole blokkeer opdragte wat op nie-bestaande dienste mik.
Vernietigende opdrag loop per ongeluk	Versag	'n Modaal aan die Companion-kant vereis 'n gebruikerklik om Remove-Item, Format-Volume, reg delete, shutdown /r ens. goed te keur.
Gehang / weghol PowerShell-proses	Versag	Elke opdrag het 'n tydgrens — 5 minute by verstek, 45 vir 'n langlopende oplossing, 60 by die harde perk — en die hele prosesboom word doodgemaak.
Companion .exe peuter tussen aflaai en hardloop	Versag	SHA-256 gepubliseer in companion-version.json; gebruikers kan dit nagaan. Authenticode-ondertekening word voor die bekendstelling beplan.
Companion omval wat sensitiewe toestand lek	Versag	Omvalverslae + Firestore-foutterugskrywings ontsmet %USERPROFILE% / %MACHINE% / %USER%.
Gesteelde toestel, volgehoue Register-paringsleutel	Versag	Die volgehoue saambindkode is geïnkripteer met Windows DPAPI (per rekening), dus kan dit nie vanaf 'n gekopieerde skyf of 'n ander Windows-rekening gelees word nie.

Buite omvang

Dinge waarteen WindowsHelper uitdruklik nie beskerm nie:

• Gekompromitteerde Windows rekening hardloop die metgesel. Ons neem aan die gebruiker se rekenaar is hulle s'n. 'n Aanvaller met admin op die gebruiker se rekenaar het reeds gewen.
• Gekompromitteerde telefoon-app binêre. Ons onderteken nie Android/iOS-geboue teen peuter verder as wat die platform se app-winkel bied nie.
• Teenstanders op staatsvlak met die middele om Google se Firestore of die sertifikaatowerhede agter HTTPS te ondermyn. Hierdie produk teiken bedreigings op verbruikersvlak — skripkinders, toevallige snuffelaars, ontevrede huismaats — eerder as regerings.
• Sykanaal-aanvalle op AES-GCM via krag- / EM-analise. Die Companion is nie 'n slimkaart nie.

Openbaarmaking

• E-pos support@windowshelper.app met onderwerp [security].
• Sluit asseblief weergawenommers, repro-stappe, impak en ideale oplossing in.
• Ons mik om binne 48 uur te antwoord en die erns binne 'n week te beoordeel. Ernstige probleme kry 'n vrystelling buite die gewone siklus.
• Openbaarmakingsvenster: 90 dae vanaf aanvanklike verslag, of vroeër volgens onderlinge ooreenkoms.
• Geen betaalde foutprys tans nie - ons krediteer verslaggewers in vrystellingsnotas (met toestemming).