← Вярнуцца да WindowsHelper

Мадэль бяспекі

Як WindowsHelper абараняе ваш ПК і тэлефон, якую крыптаграфію мы выкарыстоўваем і ад чаго яўна не абараняемся. Апошняе абнаўленне: 2026-04-25.

паведамленне аб уразлівасці

Электронная пошта support@windowshelper.app з прадметам [security]. Калі ласка, не адкрывайце агульнадаступныя праблемы GitHub — дайце нам акно для адпраўкі выпраўлення, перш чым раскрыць інфармацыю.

Жыццёвы цыкл спалучэння кода

Код спалучэння — гэта агульны сакрэт, з якога паходзяць усе іншыя крыпта-аперацыі. Поўны жыццёвы цыкл:

[ Тэлефон СТВАРАЕ выпадковы код з 8 сімвалаў ]
   ↓
[ Тэлефон ЗАПІСВАЕ код + sessionId у Firestore у дакумент pc_connections ]
   ↓
[ Тэлефон ПАКАЗВАЕ код карыстальніку на экране ]
   ↓
[ Карыстальнік ЧЫТАЕ код і ўводзіць яго ў поле Companion ]
   ↓
[ Companion ШУКАЕ ў Firestore сеанс у чаканні, які адпавядае коду ]
   ↓
[ Абодва бакі ВЫВОДЗЯЦЬ крыптаграфічныя ключы з SHA-256(код, sessionId) ]
   ↓
[ Код ЗАСТАЕЦЦА ў памяці на абодвух баках; ніводзін не запісвае яго ў Firestore ]
   ↓
[ Адключэнне / паўторнае спалучэнне СЦІРАЕ код з абодвух бакоў ]

Выпадковы: коды, згенераваныя з дапамогай крыптаграфічна бяспечных RNG.
Алфавіт з 30 сімвалаў × 8 пазіцый ≈ 656 мільярдаў камбінацый. Выключаны I, L, O, Z, 0 і 1, каб пазбегнуць візуальнай блытаніны, а не дзеля бяспекі — прастора кодаў дастаткова шчыльная, каб 10-хвіліннае акно перабору пры абмежаваннях частаты Firestore было неажыццявімым.
Захоўваецца ў зашыфраваным выглядзе на гэтым ПК. Companion захоўвае код у рэестры вашага ўліковага запісу Windows, зашыфраваным праз DPAPI, каб пасля перазапуску падключыцца зноў.
Сціраецца, калі вы адключаецеся і ачышчаеце сеанс, мяняеце код або выдаляеце праграму. Пры закрыцці праграмы ён захоўваецца, каб Companion мог падключыцца зноў.

Крыптаграфія

AES-256-GCM (канфідэнцыяльнасць каманды + цэласнасць)

Кожная каманда, адпраўленая па дроце, шыфруецца з дапамогай AES-256-GCM, рэжыму шыфравання з аўтэнтыфікацыяй.

Ключ: 256 біт, атрыманы як SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 біт (12 байт), толькі што згенераваных для кожнага паведамлення праз Random.secure() па тэлефоне або RandomNumberGenerator на баку Companion.
Тэг аўтарызацыі: 128 біт (16 байт), далучаных да зашыфраванага тэксту.
Фармат правадоў: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Бяспека невыкарыстання nonce паўторна: 96-бітныя nonce ад CSPRNG утрымліваюць імавернасць калізіі паводле парадокса дзён нараджэння каля 2⁻³² на працягу 2³² паведамленняў з адным сеансавым ключом — гэта стандартная мяжа для выпадковых GCM-nonce і значна больш за любы праўдападобны аб'ём каманд.

HMAC-SHA256 (аўтэнтычнасць каманды)

Кожная каманда таксама мае подпіс HMAC, таму тэлефон, які не ведае кода спалучэння, не можа ўводзіць каманды, нават калі ён можа пісаць у Firestore.

Ключ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Асобна ад ключа шыфравання.
Ахоп поля: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Трубы - гэта літаральныя сімвалы трубы, а не падзельнікі - тры канкатэнаваныя радкі.
Парадак праверкі: HMAC правяраецца перад дэшыфраваннем. Падробленыя паведамленні не марнуюць ніводнага цыкла працэсара на крыптаграфічныя аперацыі.

Мадэль пагрозы

Пагроза	Статус	Заўвагі
Праслухоўка ў лакальнай сеткі	Змякчаны	Шыфраваны тэкст AES-GCM непразрысты для назіральнікаў MITM.
Праслухоўванне на серверах Firestore	Змякчаны	Google бачыць блокі `AESGCM:...`, а не каманды.
Зламыснік, які можа пісаць у Firestore, але не ведае кода	Змякчаны	Праверка HMAC не праходзіць; Companion запісвае адмову і не выконвае каманду.
Зламыснік, які ўзламаў / падмануў код спалучэння	Рэшткавы	Яны могуць аддаваць каманды, як калі б яны былі карыстальнікам. Змякчэнне: павярніце код з меню трэя.
Паўтор запісанай каманды	Рэшткавы	`sentAtMillis` прывязаны да HMAC; Companion пакуль не правярае акно свежасці. Будучае выпраўленне дадасць тэрмін дзеяння.
Неаўтэнтыфікаваны зламыснік у рэжыме лакальнай сеткі	Змякчаны	Рукапоціск пары WebSocket правярае код; Шлюз HMAC + AES кожная наступная каманда.
Узламаны тэлефон са скрадзеным ключом спалучэння	Рэшткавы	Неадрозны ад «самога карыстальніка». Змякчэнне: абмежаванне хуткасці (10 cmd/мін) + пацвярджэнне дэструктыўнай каманды патрабуе пстрычкі з боку ПК.
Памылковая каманда з праграмы для тэлефона	Змякчаны	Спіс дазволаў на баку тэлефона блакуе невядомыя прэфіксы; папярэдняя праверка на баку Companion блакуе каманды да неіснуючых службаў.
Разбуральная каманда запускаецца выпадкова	Змякчаны	Акно на баку Companion патрабуе націску карыстальніка, каб пацвердзіць `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` і да т. п.
Завіс / непрацуючы працэс PowerShell	Змякчаны	Кожная каманда абмежаваная па часе — 5 хвілін па змаўчанні, 45 для доўгага выпраўлення, 60 на жорсткай мяжы — і ўсё дрэва працэсаў спыняецца.
Companion .exe маніпуляцыя паміж загрузкай і запускам	Змякчаны	SHA-256 публікуецца ў `companion-version.json`; карыстальнікі могуць праверыць. Подпіс Authenticode запланаваны да запуску.
Companion збой з уцечкай адчувальнага стану	Змякчаны	Справаздачы аб збоях + зваротныя запісы памылак Firestore дэзінфікуюць `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Выкрадзеная прылада, захоўваецца ключ спалучэння рэестра	Змякчаны	Пастаянны код спалучэння зашыфраваны з дапамогай Windows DPAPI (для кожнага ўліковага запісу), таму яго нельга прачытаць са скапіраванага дыска або іншага ўліковага запісу Windows.

Па-за рамкамі

Тое, ад чаго WindowsHelper відавочна не абараняе:

Скампраметаваны ўліковы запіс Windows працуе спадарожнік. Мы мяркуем, што ПК карыстальніка належыць ім. Зламыснік з адміністратарам на ПК карыстальніка ўжо перамог.
Скампраметаваны двайковы файл праграмы для тэлефона. Мы не падпісваем зборкі Android/iOS супраць маніпуляцый, акрамя таго, што прапануе крама прыкладанняў платформы.
Праціўнікі дзяржаўнага ўзроўню з рэсурсамі, каб узламаць Firestore ад Google або цэнтры сертыфікацыі, на якіх трымаецца HTTPS. Гэты прадукт разлічаны на пагрозы бытавога ўзроўню — скрыпт-кідзі, выпадковых цікаўных, незадаволеных хатніх — а не на ўрады.
Атакі па пабочных каналах на AES-GCM праз аналіз сілкавання / ЭМ-выпраменьвання. Companion — не смарт-карта.

Раскрыццё інфармацыі

Электронная пошта support@windowshelper.app з прадметам [security].
Калі ласка, уключыце нумары версій, этапы ўзнаўлення, уплыў і ідэальнае выпраўленне.
Мы імкнёмся адказаць на працягу 48 гадзін і ацаніць сур'ёзнасць на працягу тыдня. Сур'ёзныя праблемы атрымліваюць пазачарговы выпуск.
Перыяд раскрыцця інфармацыі: 90 дзён з моманту першапачатковай справаздачы або раней па ўзаемнай згодзе.
У цяперашні час выплаты за памылку не выплачваецца — мы адзначаем рэпарцёраў у нататках да выпуску (з дазволу).