Turvamudel

Kuidas WindowsHelper kaitseb teie arvutit ja telefoni, millist krüptograafiat me kasutame ja mille vastu me otseselt ei kaitse. Viimati uuendatud: 2026-04-25.

Sidumiskoodi elutsükkel

Sidumiskood on jagatud saladus, millest tuleneb iga teine krüptooperatsioon. Täielik elutsükkel:

[ Telefon LOOB juhusliku 8-märgilise koodi ]
   ↓
[ Telefon KIRJUTAB koodi + sessionId Firestore'i dokumenti pc_connections ]
   ↓
[ Telefon KUVAB koodi kasutajale ekraanil ]
   ↓
[ Kasutaja LOEB koodi ja tipib selle Companioni sisestusväljale ]
   ↓
[ Companion OTSIB Firestore'ist koodile vastavat ootel seanssi ]
   ↓
[ Mõlemad pooled TULETAVAD krüptovõtmed väärtusest SHA-256(kood, sessionId) ]
   ↓
[ Kood JÄÄB mõlemal poolel mällu; kumbki ei kirjuta seda Firestore'i ]
   ↓
[ Ühenduse katkestamine / uuesti sidumine KUSTUTAB koodi mõlemalt poolelt ]

• Juhuslik: krüptograafiliselt turvaliste RNG-de kaudu genereeritud koodid.
• 30-märgiline tähestik × 8 kohta ≈ 656 miljardit kombinatsiooni. Välja on jäetud I, L, O, Z, 0 ja 1, et vältida visuaalset segadust, mitte turvakaalutlustel — koodiruum on piisavalt tihe, et 10-minutiline jõuga arvamise aken Firestore'i kiiruspiirangute juures oleks teostamatu.
• Hoitakse selles arvutis krüptituna. Companion salvestab koodi teie Windowsi konto registrisse, krüptituna DPAPI-ga, et saaks pärast taaskäivitust uuesti ühenduda.
• Kustutatakse, kui katkestate ühenduse ja tühjendate seansi, vahetate koodi või desinstallite. Rakenduse sulgemisel see säilib, et Companion saaks uuesti ühenduda.

Krüptograafia

AES-256-GCM (käskude konfidentsiaalsus + terviklikkus)

Iga juhtme kaudu saadetud käsk krüpteeritakse autentitud krüpteerimisrežiimiga AES-256-GCM.

• Võti: 256 bitti, tuletatud kui SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bitti (12 baiti), genereeritud värskelt sõnumi kohta Random.secure() telefonis või RandomNumberGenerator Companion-i poolel.
• Auth tag: 128 bitti (16 baiti), mis on lisatud šifritekstile.
• Traadi formaat: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Nonce'i taaskasutuse turvalisus: CSPRNG-ist pärit 96-bitised nonce'id hoiavad sünnipäevaparadoksi järgset kokkupõrke tõenäosust umbes tasemel 2⁻³² 2³² sõnumi jooksul ühe seansivõtmega — see on juhuslike GCM-nonce'ide standardpiir ja jääb kaugele igast usutavast käskude mahust.

HMAC-SHA256 (käskude autentsus)

Iga käsk kannab ka HMAC-allkirja, nii et telefon, mis ei tea sidumiskoodi, ei saa käske sisestada isegi siis, kui see suudab Firestore'i kirjutada.

• Võti: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Krüpteerimisvõtmest eraldi.
• Välja ulatus: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Torud on sõnasõnalised torumärgid, mitte eraldajad – kolm ühendatud stringi.
• Kontrollimise järjekord: HMAC kontrollitakse enne dekrüpteerimist. Võltsitud sõnumid ei raiska ühtegi protsessoritsüklit krüptooperatsioonidele.

Ohu mudel

Oht	Olek	Märkmed
Pealtkuulaja kohalikus võrgus	Leevendatud	AES-GCM-i šifrtekst on MITM-i vaatlejatele läbipaistmatu.
Pealtkuulaja Firestore'i serverites	Leevendatud	Google näeb AESGCM:... plokke, mitte käske.
Ründaja, kes suudab Firestore'i kirjutada, kuid ei tea koodi	Leevendatud	HMAC-i kontroll ebaõnnestub; Companion logib tagasilükkamise ja keeldub käivitamast.
Ründaja, kes murdis/andmepüügikoodi lahti	Jääk	Nad võivad anda käske nii, nagu oleksid nad kasutajad. Leevendus: pöörake salve menüüst koodi.
Salvestatud käsu taasesitus	Jääk	sentAtMillis on HMAC-iga seotud; Companion ei jõusta veel värskusakent. Tulevane parandus lisab aegumise.
LAN-režiimis autentimata ründaja	Leevendatud	WebSocket paari käepigistus kinnitab koodi; HMAC + AES väravad iga järgneva käsu.
Kahjustatud telefon varastatud sidumisvõtmega	Jääk	Ei erista "kasutajast endast". Leevendus: kiiruse piirang (10 cmd/min) + hävitava käsu kinnitus nõuab arvutipoolset klõpsamist.
Valesti sisestatud käsk telefonirakendusest	Leevendatud	Telefonipoolne lubatute loend blokeerib tundmatud eesliited; Companion-i poolne eelkontroll blokeerib käsud, mis sihivad olematuid teenuseid.
Destruktiivne käsk käivitatakse kogemata	Leevendatud	Companion-i poolne aken nõuab kasutaja klõpsu, et kinnitada Remove-Item, Format-Volume, reg delete, shutdown /r jms.
Hang/põgenenud PowerShelli protsess	Leevendatud	Igal käsul on ajapiir — vaikimisi 5 minutit, pikalt kestva paranduse puhul 45, kõva lae juures 60 — ja kogu protsessipuu lõpetatakse.
Companion .exe muutmine allalaadimise ja käitamise vahel	Leevendatud	SHA-256 avaldatakse failis companion-version.json; kasutajad saavad seda kontrollida. Authenticode'i allkiri on plaanitud enne käivitamist.
Companion krahhi lekke tundlik olek	Leevendatud	Krahhiaruanded + Firestore'i vigade tagasikirjutused desinfitseeritakse %USERPROFILE% / %MACHINE% / %USER%.
Varastatud seade, säilinud registri sidumisvõti	Leevendatud	Säilinud sidumiskood on krüptitud Windows DPAPI-ga (konto kohta), nii et seda ei saa lugeda kopeeritud kettalt või muult Windows kontolt.

Väljaspool ulatust

Asjad, mille eest WindowsHelper sõnaselgelt ei kaitse:

• Ohustatud Windows konto kaaslase jooksmine. Eeldame, et kasutaja arvuti on tema oma. Ründaja, kellel on kasutaja arvutis administraator, on juba võitnud.
• Kahjustatud telefonirakenduse binaarfail. Me ei allkirjasta Androidi/iOS-i konstruktsioone võltsimise vastu väljaspool seda, mida platvormi rakenduste pood pakub.
• Riikliku tasandi vastased, kellel on vahendid Google'i Firestore'i või HTTPS-i taga olevate sertifitseerimisasutuste murdmiseks. See toode on mõeldud tavakasutaja tasandi ohtude vastu — skriptilapsed, juhuslikud nuhkijad, rahulolematud pereliikmed — mitte valitsuste vastu.
• Kõrvalkanali rünnakud AES-GCM-i vastu voolu- või elektromagnetanalüüsi kaudu. Companion ei ole kiipkaart.

Avalikustamine

• Meil support@windowshelper.app koos teemaga [security].
• Lisage versiooninumbrid, repro sammud, mõju ja ideaalne lahendus.
• Püüame vastata 48 tunni jooksul ja hinnata tõsidust nädala jooksul. Tõsised probleemid saavad erakorralise väljalaske.
• Avalikustamisaken: 90 päeva alates esialgsest aruandest või vastastikusel kokkuleppel varem.
• Hetkel tasulist veahüvitist pole – me tunnustame reportereid väljalaskemärkmetes (loaga).