Модел за сигурност

Как WindowsHelper защитава вашия компютър + вашия телефон, каква криптография използваме и срещу какво изрично не се защитаваме. Последна актуализация: 2026-04-25.

Жизнен цикъл на код за сдвояване

Кодът за сдвояване е споделената тайна, от която произлиза всяка друга крипто операция. Пълният жизнен цикъл:

[ Телефонът ГЕНЕРИРА произволен код от 8 знака ]
   ↓
[ Телефонът ЗАПИСВА кода + sessionId във Firestore в документа pc_connections ]
   ↓
[ Телефонът ПОКАЗВА кода на потребителя на екрана ]
   ↓
[ Потребителят ПРОЧИТА кода и го въвежда в полето на Companion ]
   ↓
[ Companion ТЪРСИ във Firestore чакаща сесия, съответстваща на кода ]
   ↓
[ Двете страни ИЗВЕЖДАТ криптографски ключове от SHA-256(код, sessionId) ]
   ↓
[ Кодът ОСТАВА в паметта и от двете страни; никоя не го записва във Firestore ]
   ↓
[ Прекъсване / ново сдвояване ИЗТРИВА кода и от двете страни ]

• произволно: кодове, генерирани чрез криптографски защитени RNG.
• Азбука от 30 знака × 8 позиции ≈ 656 милиарда комбинации. Изключени са I, L, O, Z, 0 и 1, за да се избегне визуална двусмисленост, а не по съображения за сигурност — пространството от кодове е достатъчно гъсто, че 10-минутен прозорец за груба сила при ограниченията на честотата на Firestore е неосъществим.
• Пази се шифрован на този компютър. Companion запазва кода в системния регистър на вашия акаунт в Windows, шифрован с DPAPI, за да може да се свърже отново след рестартиране.
• Изтрива се, когато прекъснете връзката и изчистите сесията, смените кода или деинсталирате. Затварянето на приложението го запазва, за да може Companion да се свърже отново.

Криптография

AES-256-GCM (поверителност на командите + цялост)

Всяка команда, изпратена по кабела, е криптирана с AES-256-GCM, режим на удостоверено криптиране.

• Ключ: 256 бита, получени като SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 бита (12 байта), генерирани прясно за всяко съобщение чрез Random.secure() по телефона или RandomNumberGenerator от страната на Companion.
• Етикет за удостоверяване: 128 бита (16 байта), добавени към шифрования текст.
• Формат на кабела: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безопасност при повторна употреба на nonce: 96-битовите nonce от CSPRNG задържат вероятността за колизия по парадокса на рождените дни около 2⁻³² в рамките на 2³² съобщения с един сесиен ключ — стандартната граница за случайни GCM nonce и далеч отвъд всеки правдоподобен обем команди.

HMAC-SHA256 (автентичност на командата)

Всяка команда също носи HMAC подпис, така че телефон, който не знае кода за сдвояване, не може да инжектира команди, дори ако може да пише във Firestore.

• Ключ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Отделно от ключа за криптиране.
• Обхват на полето: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Веригите са буквални знаци за тръба, а не разделители — три конкатенирани низа.
• Ред на проверка: HMAC се проверява преди дешифрирането. Подправените съобщения не изразходват нито един процесорен цикъл за криптографски операции.

Модел на заплаха

Заплаха	Статус	Бележки
Подслушвател в локалната мрежа	Смекчена	Шифровият текст AES-GCM е непрозрачен за наблюдателите на MITM.
Подслушвател на сървъри на Firestore	Смекчена	Google вижда блокове AESGCM:..., а не команди.
Нападател, който може да пише на Firestore, но не знае кода	Смекчена	Проверката на HMAC се проваля; Companion записва отказа и отказва изпълнение.
Нападател, който е разбил/фишнирал кода за сдвояване	Остатъчен	Те могат да издават команди, сякаш са потребител. Смекчаване: завъртете кода от менюто в трея.
Възпроизвеждане на записана команда	Остатъчен	sentAtMillis е обвързан с HMAC; Companion все още не налага прозорец на свежест. Бъдеща поправка ще добави срок на валидност.
Неупълномощен нападател в LAN режим	Смекчена	WebSocket двойка ръкостискане валидира кода; HMAC + AES gate всяка следваща команда.
Компрометиран телефон с откраднат ключ за сдвояване	Остатъчен	Неразличими от „самия потребител“. Смекчаване: ограничение на скоростта (10 cmd/min) + потвърждението на деструктивна команда изисква щракване от страна на компютъра.
Грешно въведена команда от приложението на телефона	Смекчена	Списъкът с разрешения на страната на телефона блокира непознати представки; предварителната проверка на страната на Companion блокира команди към несъществуващи услуги.
Разрушителната команда се изпълнява случайно	Смекчена	Прозорец от страната на Companion изисква щракване от потребителя, за да одобри Remove-Item, Format-Volume, reg delete, shutdown /r и подобни.
Прекъснат / избягал процес на PowerShell	Смекчена	Всяка команда е ограничена във времето — 5 минути по подразбиране, 45 за дълготрайна поправка, 60 при твърдия таван — и цялото дърво от процеси се прекратява.
Companion .exe подправяне между изтегляне и изпълнение	Смекчена	SHA-256 се публикува в companion-version.json; потребителите могат да проверят. Подписване с Authenticode е планирано преди старта.
Companion срив изтичане на чувствително състояние	Смекчена	Докладите за сривове + обратното записване на грешка на Firestore се дезинфекцира %USERPROFILE% / %MACHINE% / %USER%.
Откраднато устройство, запазен ключ за сдвояване на системния регистър	Смекчена	Постоянният код за сдвояване е шифрован с Windows DPAPI (за акаунт), така че не може да бъде прочетен от копиран диск или различен Windows акаунт.

Извън обхвата

Неща, срещу които WindowsHelper изрично не защитава:

• Компрометиран Windows акаунт бягане на спътника. Предполагаме, че компютърът на потребителя е негов. Нападател с администратор на компютъра на потребителя вече е спечелил.
• Компрометиран двоичен файл на приложението за телефон. Ние не подписваме компилации на Android/iOS срещу подправяне извън това, което предлага магазинът за приложения на платформата.
• Противници на държавно ниво с ресурсите да компрометират Firestore на Google или удостоверителните органи зад HTTPS. Този продукт е насочен към заплахи на потребителско ниво — скрипт-хлапета, случайни любопитни, недоволни членове на домакинството — а не към правителства.
• Атаки по страничен канал срещу AES-GCM чрез анализ на захранването / ЕМ излъчването. Companion не е смарт карта.

Разкриване

• Имейл support@windowshelper.app с предмет [security].
• Моля, включете номера на версията, стъпки за възпроизвеждане, въздействие и идеална корекция.
• Стремим се да отговорим до 48 часа и да оценим сериозността до седмица. Проблемите с висока сериозност получават извънредна версия.
• Прозорец за разкриване: 90 дни от първоначалния доклад или по-рано по взаимно съгласие.
• Понастоящем няма платена награда за грешки — ние признаваме репортерите в бележките към изданието (с разрешение).