نموذج الأمان

كيف يحمي WindowsHelper جهاز الكمبيوتر الخاص بك + هاتفك، وما هو التشفير الذي نستخدمه، وما لا ندافع ضده صراحةً. آخر تحديث: 2026-04-25.

دورة حياة رمز الاقتران

رمز الاقتران هو السر المشترك الذي تُشتق منه كل عملية تشفير أخرى. دورة الحياة الكاملة:

[ الهاتف يُنشئ رمزًا عشوائيًا من 8 أحرف ]
   ↓
[ الهاتف يكتب الرمز + sessionId إلى Firestore في مستند pc_connections ]
   ↓
[ الهاتف يعرض الرمز للمستخدم على الشاشة ]
   ↓
[ المستخدم يقرأ الرمز ويكتبه في حقل الإدخال في Companion ]
   ↓
[ Companion يبحث في Firestore عن جلسة منتظرة تطابق الرمز ]
   ↓
[ الطرفان يشتقّان مفاتيح التشفير من SHA-256(الرمز, sessionId) ]
   ↓
[ الرمز يبقى في ذاكرة الطرفين، ولا يكتبه أيٌّ منهما إلى Firestore ]
   ↓
[ قطع الاتصال / إعادة الاقتران يمحو الرمز من الطرفين ]

• عشوائي: الرموز التي تم إنشاؤها عبر RNGs الآمنة تشفيرًا.
• أبجدية من 30 حرفًا × 8 مواضع ≈ 656 مليار تركيبة. تستبعد I وL وO وZ و0 و1 لتجنب الالتباس البصري، لا لسبب أمني — فمساحة الرموز كثيفة بما يكفي لجعل نافذة تخمين عنيف مدتها 10 دقائق، مع حدود معدل Firestore، غير عملية.
• يُحفظ مشفّرًا على هذا الكمبيوتر. يحفظ Companion الرمز في سجل Windows الخاص بحسابك، مشفّرًا بواسطة DPAPI، ليتمكن من إعادة الاتصال بعد إعادة التشغيل.
• يُمسح عندما تقطع الاتصال وتمسح الجلسة، أو تغيّر الرمز، أو تُلغي التثبيت. أما إغلاق التطبيق فيُبقيه، ليتمكن Companion من إعادة الاتصال.

التشفير

AES-256-GCM (سرية الأمر + السلامة)

يتم تشفير كل أمر يتم إرساله عبر السلك باستخدام AES-256-GCM، وهو وضع تشفير مصادق عليه.

• المفتاح: 256 بت، مشتقة كـ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 بت (12 بايت)، يتم إنشاؤها حديثًا لكل رسالة عبر Random.secure() على الهاتف أو RandomNumberGenerator على Companion.
• علامة المصادقة: 128 بت (16 بايت)، ملحقة بالنص المشفر.
• تنسيق السلك: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• أمان عدم تكرار الـ nonce: تُبقي قيم nonce بطول 96 بت المولَّدة من CSPRNG احتمالَ التصادم وفق مفارقة أعياد الميلاد عند نحو 2⁻³² عبر 2³² رسالة على مفتاح جلسة واحد — وهو الحد القياسي لقيم nonce العشوائية في GCM، وهو أبعد كثيراً من أي حجم أوامر معقول.

HMAC-SHA256 (أصالة الأمر)

يحمل كل أمر أيضًا توقيع HMAC، لذا لا يمكن للهاتف الذي لا يعرف رمز الاقتران إدخال الأوامر حتى لو كان بإمكانه الكتابة إلى Firestore.

• المفتاح: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). منفصلة عن مفتاح التشفير.
• النطاق الميداني: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). الأنابيب عبارة عن أحرف توجيه حرفية، وليست محددات - ثلاث سلاسل متسلسلة.
• ترتيب التحقق: يتم التحقق من HMAC قبل فك التشفير. لا تهدر الرسائل المزورة أي دورة معالجة على العمليات التشفيرية.

نموذج التهديد

التهديد	الحالة	ملاحظات
التنصت على الشبكة المحلية	مخففة	النص المشفر AES-GCM غير شفاف لمراقبي MITM.
التنصت على خوادم Firestore	مخففة	ترى Google كتل AESGCM:...، لا الأوامر.
مهاجم يمكنه الكتابة إلى Firestore لكنه لا يعرف الرمز	مخففة	يفشل تحقّق HMAC؛ ويسجّل Companion الرفض ويمنع التنفيذ.
المهاجم الذي قام باختراق/تصيد رمز الاقتران	المتبقية	يمكنهم إصدار الأوامر كما لو كانوا المستخدم. التخفيف: قم بتدوير الكود من قائمة الدرج.
إعادة تشغيل أمر مسجل	المتبقية	sentAtMillis مرتبط بـ HMAC؛ لا يفرض Companion بعد نافذة صلاحية زمنية. سيضيف إصلاح مستقبلي مدة صلاحية.
وضع LAN مهاجم غير مصادق عليه	مخففة	تعمل مصافحة زوج WebSocket على التحقق من صحة الكود؛ بوابة HMAC + AES لكل أمر لاحق.
هاتف مخترق مع مفتاح الاقتران المسروق	المتبقية	لا يمكن تمييزه عن "المستخدم نفسه". التخفيف: حد المعدل (10 سمد/دقيقة) + تأكيد الأمر المدمر يتطلب النقر على جانب الكمبيوتر.
أمر مكتوب بشكل خاطئ من تطبيق الهاتف	مخففة	قائمة السماح على جانب الهاتف تحجب البادئات غير المعروفة؛ والفحص المسبق على جانب Companion يحجب الأوامر التي تستهدف خدمات غير موجودة.
تشغيل الأمر المدمر عن طريق الخطأ	مخففة	تطلب نافذة على جانب Companion نقرة من المستخدم للموافقة على Remove-Item وFormat-Volume وreg delete وshutdown /r وما شابهها.
عملية PowerShell المعلقة/الهاربة	مخففة	لكل أمر حد زمني — 5 دقائق افتراضيًا، و45 للإصلاح الطويل، و60 عند الحد الأقصى الصارم — وتُنهى شجرة العمليات بأكملها.
Companion العبث بملف .exe بين التنزيل والتشغيل	مخففة	بصمة SHA-256 منشورة في companion-version.json؛ ويمكن للمستخدمين التحقق منها. التوقيع عبر Authenticode مخطط له قبل الإطلاق.
Companion عطل تسرب الحالة الحساسة	مخففة	تقارير الأعطال + تعقيم عمليات كتابة الأخطاء في Firestore %USERPROFILE% / %MACHINE% / %USER%.
جهاز مسروق، مفتاح إقران التسجيل المستمر	مخففة	يتم تشفير رمز الاقتران المستمر باستخدام Windows DPAPI (لكل حساب)، لذا لا يمكن قراءته من قرص منسوخ أو حساب Windows مختلف.

خارج النطاق

أشياء لا يحمي منها WindowsHelper صراحةً:

• تم اختراق حساب Windows. تشغيل الرفيق. نحن نفترض أن جهاز الكمبيوتر الخاص بالمستخدم هو جهاز خاص به. لقد فاز بالفعل مهاجم يتمتع بمسؤولية على جهاز الكمبيوتر الخاص بالمستخدم.
• اختراق تطبيق الهاتف الثنائي. نحن لا نوقع على إصدارات Android/iOS ضد التلاعب بما يتجاوز ما يوفره متجر تطبيقات النظام الأساسي.
• خصوم على مستوى الدول يملكون الموارد لاختراق Firestore من Google أو هيئات الشهادات التي يقوم عليها HTTPS. يستهدف هذا المنتج تهديدات المستوى الاستهلاكي — المبتدئين في الاختراق، والمتطفلين العابرين، وأفراد الأسرة الساخطين — لا الحكومات.
• هجمات القنوات الجانبية على AES-GCM عبر تحليل الطاقة / الانبعاثات الكهرومغناطيسية. Companion ليس بطاقة ذكية.

الإفصاح

• البريد الإلكتروني support@windowshelper.app مع الموضوع [security].
• يرجى تضمين أرقام الإصدارات وخطوات إعادة الإنتاج والتأثير والإصلاح المثالي.
• نسعى إلى الرد خلال 48 ساعة وتقدير الخطورة خلال أسبوع. وتحصل المشكلات عالية الخطورة على إصدار خارج الدورة المعتادة.
• فترة الإفصاح: 90 يومًا من التقرير الأولي، أو قبل ذلك بالاتفاق المتبادل.
• لا توجد مكافآت أخطاء مدفوعة حاليًا - نحن ننسب الفضل إلى المراسلين في ملاحظات الإصدار (بعد الحصول على إذن).