نموذج الأمان

كيف يحمي WindowsHelper جهاز الكمبيوتر الخاص بك + هاتفك، وما هو التشفير الذي نستخدمه، وما لا ندافع ضده صراحةً. آخر تحديث: 2026-04-25.

دورة حياة رمز الاقتران

رمز الاقتران هو سر مشترك كل عملية تشفير أخرى مستمدة من. دورة الحياة الكاملة:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• عشوائي: الرموز التي تم إنشاؤها عبر RNGs الآمنة تشفيرًا.
• أبجدية مكونة من 32 حرفًا × 8 مواضع ≈ 1.1 تريليون مجموعة. يستبعد I/O/0/1 لتجنب الغموض البصري، وليس الأهمية الأمنية - مساحة الكود كثيفة بدرجة كافية بحيث تكون نافذة القوة الغاشمة لمدة 5 دقائق مع حدود معدل Firestore غير ممكنة.
• لم يتم الكتابة أبدًا إلى Firestore من أي من الجانبين. يحمل مستند جلسة الانتظار فقط pairingCode; بمجرد الاقتران، يبقى الرمز في الذاكرة حصريًا.
• مسح في الذاكرة عند قطع الاتصال أو إعادة الإقران أو إغلاق التطبيق.

التشفير

AES-256-GCM (سرية الأمر + السلامة)

يتم تشفير كل أمر يتم إرساله عبر السلك باستخدام AES-256-GCM، وهو وضع تشفير مصادق عليه.

• المفتاح: 256 بت، مشتقة كـ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• نونس: 96 بت (12 بايت)، يتم إنشاؤها حديثًا لكل رسالة عبر Random.secure() على الهاتف أو RandomNumberGenerator على رفيق.
• علامة المصادقة: 128 بت (16 بايت)، ملحقة بالنص المشفر.
• تنسيق السلك: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• سلامة عدم إعادة الاستخدام: أرقام 96 بت من CSPRNG تعطي احتمال تصادم مفارقة عيد الميلاد ~2⁻³² بعد 2⁴⁸ رسائل - بعيدًا عن متناول أي حجم أوامر معقول.

HMAC-SHA256 (أصالة الأمر)

يحمل كل أمر أيضًا توقيع HMAC، لذا لا يمكن للهاتف الذي لا يعرف رمز الاقتران إدخال الأوامر حتى لو كان بإمكانه الكتابة إلى Firestore.

• المفتاح: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). منفصلة عن مفتاح التشفير.
• النطاق الميداني: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). الأنابيب عبارة عن أحرف توجيه حرفية، وليست محددات - ثلاث سلاسل متسلسلة.
• أمر التحقق: تم التحقق من HMAC من قبل فك التشفير. تهدر الرسائل المزورة دورات وحدة المعالجة المركزية الصفرية على أساسيات التشفير.

نموذج التهديد

التهديد	الحالة	ملاحظات
التنصت على الشبكة المحلية	مخففة	النص المشفر AES-GCM غير شفاف لمراقبي MITM.
التنصت على خوادم Firestore	مخففة	Google sees AESGCM:... blobs, not commands.
مهاجم يمكنه الكتابة إلى Firestore لكنه لا يعرف الرمز	مخففة	فشل التحقق من HMAC؛ رفيق يسجل الرفض + يرفض التنفيذ.
المهاجم الذي قام باختراق/تصيد رمز الاقتران	المتبقية	يمكنهم إصدار الأوامر كما لو كانوا المستخدم. التخفيف: قم بتدوير الكود من قائمة الدرج.
إعادة تشغيل أمر مسجل	المتبقية	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
وضع LAN مهاجم غير مصادق عليه	مخففة	تعمل مصافحة زوج WebSocket على التحقق من صحة الكود؛ بوابة HMAC + AES لكل أمر لاحق.
هاتف مخترق مع مفتاح الاقتران المسروق	المتبقية	لا يمكن تمييزه عن "المستخدم نفسه". التخفيف: حد المعدل (10 سمد/دقيقة) + تأكيد الأمر المدمر يتطلب النقر على جانب الكمبيوتر.
أمر مكتوب بشكل خاطئ من تطبيق الهاتف	مخففة	تحظر القائمة المسموح بها على جانب الهاتف البادئات غير المعروفة؛ أوامر كتل ما قبل الرحلة من الجانب المصاحب والتي تستهدف الخدمات غير الموجودة.
تشغيل الأمر المدمر عن طريق الخطأ	مخففة	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
عملية PowerShell المعلقة/الهاربة	مخففة	تؤدي المهلة الصعبة البالغة 5 دقائق إلى قتل شجرة العملية بأكملها.
Companion العبث بملف .exe بين التنزيل والتشغيل	مخففة	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion عطل تسرب الحالة الحساسة	مخففة	تقارير الأعطال + تعقيم عمليات كتابة الأخطاء في Firestore %USERPROFILE% / %MACHINE% / %USER%.
جهاز مسروق، مفتاح إقران التسجيل المستمر	المتبقية	يمكن للمهاجم الذي لديه حق الوصول إلى القرص + تسجيل الدخول قراءة التعليمات البرمجية المستمرة. الإصلاح المستقبلي يغلفه بـ Windows DPAPI.

خارج النطاق

الأشياء التي يفعلها WindowsHelper صراحةً لا الدفاع ضد:

• تم اختراق حساب Windows. تشغيل الرفيق. نحن نفترض أن جهاز الكمبيوتر الخاص بالمستخدم هو جهاز خاص به. لقد فاز بالفعل مهاجم يتمتع بمسؤولية على جهاز الكمبيوتر الخاص بالمستخدم.
• اختراق تطبيق الهاتف الثنائي. نحن لا نوقع على إصدارات Android/iOS ضد التلاعب بما يتجاوز ما يوفره متجر تطبيقات النظام الأساسي.
• الخصوم على مستوى الدولة بالموارد اللازمة لتخريب Firestore التابع لشركة Google أو البنية التحتية للمفاتيح العامة (PKI) الخاصة بـ DigiCert. يستهدف هذا المنتج التهديدات من فئة المستهلك - أطفال البرامج النصية، والمتلصصون العرضيون، وأفراد الأسرة الساخطون - وليس الحكومات.
• هجمات القنوات الجانبية على AES-GCM عبر تحليل الطاقة / EM. الرفيق ليس بطاقة ذكية.

الإفصاح

• البريد الإلكتروني support@windowshelper.app مع الموضوع [security].
• يرجى تضمين أرقام الإصدارات وخطوات إعادة الإنتاج والتأثير والإصلاح المثالي.
• الرد الأول خلال 48 ساعة. شدة الفرز خلال أسبوع واحد. تحصل المشكلات عالية الخطورة على إصدار خارج الدورة.
• فترة الإفصاح: 90 يومًا من التقرير الأولي، أو قبل ذلك بالاتفاق المتبادل.
• لا توجد مكافآت أخطاء مدفوعة حاليًا - نحن ننسب الفضل إلى المراسلين في ملاحظات الإصدار (بعد الحصول على إذن).