Turvamudel

Kuidas WindowsHelper kaitseb teie arvutit ja telefoni, millist krüptograafiat me kasutame ja mille vastu me otseselt ei kaitse. Viimati uuendatud: 2026-04-25.

Sidumiskoodi elutsükkel

Sidumiskood on jagatud saladus iga teine ​​krüptooperatsioon tuleneb. Täielik elutsükkel:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Juhuslik: krüptograafiliselt turvaliste RNG-de kaudu genereeritud koodid.
• 32-täheline tähestik × 8 positsiooni ≈ 1,1 triljonit kombinatsiooni. Välistab I/O/0/1, et vältida visuaalset ebaselgust, mitte turvalisuse tähtsust – koodiruum on piisavalt tihe, et 5-minutiline jõhkra jõuga aken Firestore'i kiiruspiirangutega on võimatu.
• Pole kunagi Firestore'i kirjutanud kumbki pool. Ainult OOTEL seansi dokument kannab pairingCode; pärast sidumist jääb kood ainult mällu.
• Mälu pühkimine ühenduse katkestamisel, uuesti sidumisel või rakenduse sulgemisel.

Krüptograafia

AES-256-GCM (käskude konfidentsiaalsus + terviklikkus)

Iga juhtme kaudu saadetud käsk krüpteeritakse autentitud krüpteerimisrežiimiga AES-256-GCM.

• Võti: 256 bitti, tuletatud kui SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bitti (12 baiti), genereeritud värskelt sõnumi kohta Random.secure() telefonis või RandomNumberGenerator kaaslase peal.
• Auth tag: 128 bitti (16 baiti), mis on lisatud šifritekstile.
• Traadi formaat: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Mittekorduvkasutamise ohutus: CSPRNG-i 96-bitised mittemidagiütlused annavad sünnipäeva-paradoksi kokkupõrke tõenäosuseks ~2⁻³² pärast 2⁴8 sõnumit – astronoomiliselt kättesaamatu mis tahes usutava käsumahu jaoks.

HMAC-SHA256 (käskude autentsus)

Iga käsk kannab ka HMAC-allkirja, nii et telefon, mis ei tea sidumiskoodi, ei saa käske sisestada isegi siis, kui see suudab Firestore'i kirjutada.

• Võti: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Krüpteerimisvõtmest eraldi.
• Välja ulatus: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Torud on sõnasõnalised torumärgid, mitte eraldajad – kolm ühendatud stringi.
• Kinnitusjärjekord: HMAC kontrollitud enne dekrüpteerimine. Võltsitud sõnumid raiskavad krüptoprimitiividele null CPU tsüklit.

Ohu mudel

Oht	Olek	Märkmed
Pealtkuulaja kohalikus võrgus	Leevendatud	AES-GCM-i šifrtekst on MITM-i vaatlejatele läbipaistmatu.
Pealtkuulaja Firestore'i serverites	Leevendatud	Google sees AESGCM:... blobs, not commands.
Ründaja, kes suudab Firestore'i kirjutada, kuid ei tea koodi	Leevendatud	HMAC-i kinnitamine ebaõnnestub; kaaslane logib tagasilükkamise + keeldub täitmisest.
Ründaja, kes murdis/andmepüügikoodi lahti	Jääk	Nad võivad anda käske nii, nagu oleksid nad kasutajad. Leevendus: pöörake salve menüüst koodi.
Salvestatud käsu taasesitus	Jääk	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-režiimis autentimata ründaja	Leevendatud	WebSocket paari käepigistus kinnitab koodi; HMAC + AES väravad iga järgneva käsu.
Kahjustatud telefon varastatud sidumisvõtmega	Jääk	Ei erista "kasutajast endast". Leevendus: kiiruse piirang (10 cmd/min) + hävitava käsu kinnitus nõuab arvutipoolset klõpsamist.
Valesti sisestatud käsk telefonirakendusest	Leevendatud	Telefonipoolne lubade loend blokeerib tundmatud eesliited; kaaslasepoolsed lennueelsed blokeeringud käsud, mis sihivad olematuid teenuseid.
Destruktiivne käsk käivitatakse kogemata	Leevendatud	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Hang/põgenenud PowerShelli protsess	Leevendatud	Raske 5-minutiline ajalõpp tapab kogu protsessipuu.
Companion .exe muutmine allalaadimise ja käitamise vahel	Leevendatud	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion krahhi lekke tundlik olek	Leevendatud	Krahhiaruanded + Firestore'i vigade tagasikirjutused desinfitseeritakse %USERPROFILE% / %MACHINE% / %USER%.
Varastatud seade, säilinud registri sidumisvõti	Jääk	Ketta + sisselogimisjuurdepääsuga ründaja võib püsivat koodi lugeda. Tulevane parandus hõlmab selle Windows DPAPI-ga.

Väljaspool ulatust

Asjad, mida WindowsHelper selgesõnaliselt teeb mitte kaitsta vastu:

• Ohustatud Windows konto kaaslase jooksmine. Eeldame, et kasutaja arvuti on tema oma. Ründaja, kellel on kasutaja arvutis administraator, on juba võitnud.
• Kahjustatud telefonirakenduse binaarfail. Me ei allkirjasta Androidi/iOS-i konstruktsioone võltsimise vastu väljaspool seda, mida platvormi rakenduste pood pakub.
• Riigi tasandi vastased ressurssidega, et õõnestada Google'i Firestore'i või DigiCerti PKI-d. See toode on suunatud tarbijatele mõeldud ohtudele – stsenaariumilapsed, juhuslikud nuhkijad, rahulolematud leibkonnaliikmed – mitte valitsused.
• Külgkanalite rünnakud AES-GCM-is võimsuse / EM-analüüsi kaudu. Kaaslane ei ole kiipkaart.

Avalikustamine

• Meil support@windowshelper.app koos teemaga [security].
• Lisage versiooninumbrid, repro sammud, mõju ja ideaalne lahendus.
• Esimene vastus 48 tunni jooksul. Katsetatud raskusaste ühe nädala jooksul. Tõsised probleemid vabastatakse tsüklist väljas.
• Avalikustamisaken: 90 päeva alates esialgsest aruandest või vastastikusel kokkuleppel varem.
• Hetkel tasulist veahüvitist pole – me tunnustame reportereid väljalaskemärkmetes (loaga).