مدل امنیتی

چگونه WindowsHelper از رایانه شخصی + تلفن شما محافظت می‌کند، از چه رمزنگاری استفاده می‌کنیم و صراحتاً از چه چیزی دفاع نمی‌کنیم. آخرین به روز رسانی: 2026-04-25.

چرخه عمر کد جفت شدن

کد جفت‌شدن راز مشترک است که هر عملیات رمزنگاری دیگری از آن مشتق می‌شود. چرخه کامل حیات:

[ گوشی یک کد تصادفی ۸ نویسه‌ای می‌سازد ]
   ↓
[ گوشی کد + sessionId را در سند pc_connections در Firestore می‌نویسد ]
   ↓
[ گوشی کد را روی صفحه به کاربر نشان می‌دهد ]
   ↓
[ کاربر کد را می‌خواند و در کادر ورودی Companion می‌نویسد ]
   ↓
[ Companion در Firestore دنبال نشست در انتظاری می‌گردد که با کد مطابقت دارد ]
   ↓
[ هر دو طرف کلیدهای رمزنگاری را از SHA-256(کد, sessionId) استخراج می‌کنند ]
   ↓
[ کد در حافظهٔ هر دو طرف می‌ماند؛ هیچ‌کدام آن را در Firestore نمی‌نویسند ]
   ↓
[ قطع اتصال / جفت‌سازی دوباره کد را از هر دو طرف پاک می‌کند ]

• تصادفی: کدهای تولید شده از طریق RNG های امن رمزنگاری شده.
• الفبای 30 نویسه × 8 موقعیت ≈ 656 میلیارد ترکیب. برای پرهیز از ابهام دیداری، I، L، O، Z، 0 و 1 کنار گذاشته شده‌اند — نه به دلیل امنیتی. فضای کد آن‌قدر متراکم است که پنجره 10 دقیقه‌ای حمله جست‌وجوی فراگیر، با محدودیت‌های نرخ Firestore، شدنی نیست.
• به‌صورت رمزگذاری‌شده روی این رایانه نگه داشته می‌شود. Companion کد را در رجیستری حساب Windows شما، رمزگذاری‌شده با DPAPI، ذخیره می‌کند تا پس از راه‌اندازی دوباره بتواند وصل شود.
• پاک می‌شود وقتی اتصال را قطع و جلسه را پاک کنید، کد را عوض کنید یا برنامه را حذف کنید. بستن برنامه آن را نگه می‌دارد تا Companion بتواند دوباره وصل شود.

رمزنگاری

AES-256-GCM (محرمانه بودن فرمان + یکپارچگی)

هر فرمانی که از طریق سیم ارسال می شود با AES-256-GCM، یک حالت رمزگذاری احراز هویت شده، رمزگذاری می شود.

• کلید: 256 بیت، مشتق شده به عنوان SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 بیت (12 بایت) که به تازگی در هر پیام ایجاد شده است Random.secure() روی تلفن یا RandomNumberGenerator روی Companion.
• تگ احراز هویت: 128 بیت (16 بایت)، به متن رمز شده اضافه شده است.
• فرمت سیم: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• ایمنی عدم استفادهٔ مجدد از nonce: nonceهای ۹۶ بیتی برگرفته از یک CSPRNG احتمال برخورد بر پایهٔ پارادوکس روز تولد را در حدود 2⁻³² نگه می‌دارند، در گسترهٔ 2³² پیام با یک کلید نشست — این حد استاندارد برای nonceهای تصادفی GCM است و بسیار فراتر از هر حجم دستور معقولی قرار دارد.

HMAC-SHA256 (اصالت فرمان)

هر فرمان همچنین دارای امضای HMAC است، بنابراین تلفنی که کد جفت شدن را نمی‌داند، حتی اگر بتواند در Firestore بنویسد، نمی‌تواند دستورات را تزریق کند.

• کلید: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). از کلید رمزگذاری جدا کنید.
• محدوده میدان: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). لوله ها نویسه های واقعی لوله هستند، نه جداکننده - سه رشته به هم پیوسته.
• ترتیب تأیید: HMAC پیش از رمزگشایی تأیید می‌شود. پیام‌های جعلی هیچ چرخه پردازنده‌ای را صرف عملیات رمزنگاری نمی‌کنند.

مدل تهدید

تهدید	وضعیت	یادداشت ها
استراق سمع در شبکه محلی	کاهش یافته است	متن رمزی AES-GCM برای ناظران MITM مبهم است.
استراق سمع سرورهای Firestore	کاهش یافته است	گوگل بلوک‌های AESGCM:... را می‌بیند، نه دستورها را.
مهاجمی که می تواند به Firestore بنویسد اما کد را نمی داند	کاهش یافته است	بررسی HMAC ناموفق است؛ Companion رد شدن را ثبت می‌کند و از اجرا خودداری می‌کند.
مهاجمی که کد جفت شدن را شکست / فیش کرد	باقیمانده	آنها می توانند دستورات را طوری صادر کنند که گویی کاربر هستند. کاهش: کد را از منوی سینی بچرخانید.
بازپخش یک فرمان ضبط شده	باقیمانده	sentAtMillis به HMAC گره خورده است؛ Companion هنوز پنجره اعتبار زمانی را اعمال نمی‌کند. رفع آینده یک مهلت انقضا اضافه می‌کند.
مهاجم احراز هویت نشده در حالت LAN	کاهش یافته است	دست دادن جفت WebSocket کد را تأیید می کند. HMAC + AES هر دستور بعدی را گیت می کند.
تلفن به خطر افتاده با کلید جفت شدن به سرقت رفته	باقیمانده	غیر قابل تشخیص از "خود کاربر". کاهش: محدودیت سرعت (10 سانتی متر در دقیقه) + تأیید فرمان مخرب نیاز به کلیک سمت رایانه شخصی دارد.
دستور اشتباه تایپ شده از برنامه تلفن	کاهش یافته است	فهرست مجاز سمت گوشی پیشوندهای ناشناخته را مسدود می‌کند؛ بررسی پیش از اجرا در سمت Companion فرمان‌هایی را که سرویس‌های ناموجود را هدف گرفته‌اند مسدود می‌کند.
فرمان مخرب به طور تصادفی اجرا می شود	کاهش یافته است	پنجره‌ای در سمت Companion برای تأیید Remove-Item، Format-Volume، reg delete، shutdown /r و مانند آن، کلیک کاربر را لازم دارد.
فرآیند پاورشل آویزان / فراری است	کاهش یافته است	هر فرمان محدودیت زمانی دارد — 5 دقیقه به‌طور پیش‌فرض، 45 دقیقه برای رفع طولانی، و 60 دقیقه در سقف سخت — و کل درخت فرایندها بسته می‌شود.
Companion دستکاری .exe بین دانلود و اجرا	کاهش یافته است	SHA-256 در companion-version.json منتشر می‌شود؛ کاربران می‌توانند آن را بررسی کنند. امضای Authenticode پیش از عرضه برنامه‌ریزی شده است.
Companion حالت حساس به نشت خرابی	کاهش یافته است	گزارش‌های خرابی + بازنویسی خطاهای Firestore پاکسازی می‌شوند %USERPROFILE% / %MACHINE% / %USER%.
دستگاه دزدیده شده، کلید جفت شدن رجیستری ادامه دارد	کاهش یافته است	کد جفت‌سازی پایدار با Windows DPAPI (هر حساب) رمزگذاری شده است، بنابراین نمی‌توان آن را از یک دیسک کپی شده یا یک حساب دیگر Windows خواند.

خارج از محدوده

مواردی که WindowsHelper به‌صراحت در برابر آن‌ها محافظت نمی‌کند:

• حساب Windows به خطر افتاده است اجرای همراه ما فرض می کنیم رایانه شخصی کاربر متعلق به اوست. یک مهاجم با ادمین در رایانه شخصی کاربر قبلاً برنده شده است.
• باینری برنامه تلفن به خطر افتاده است. ما سازه‌های Android/iOS را در برابر دستکاری فراتر از آنچه فروشگاه برنامه پلتفرم ارائه می‌کند امضا نمی‌کنیم.
• دشمنان در سطح دولت‌ها که منابع لازم برای نفوذ به Firestore متعلق به Google یا مراجع صدور گواهی پشتوانه HTTPS را دارند. این محصول برای تهدیدهای سطح کاربران عادی طراحی شده — خرابکاران تازه‌کار، کنجکاوهای گذری، اعضای ناراضی خانواده — نه دولت‌ها.
• حملات کانال جانبی به AES-GCM از طریق تحلیل توان / امواج الکترومغناطیسی. Companion یک کارت هوشمند نیست.

افشای

• ایمیل support@windowshelper.app با موضوع [security].
• لطفاً شماره نسخه، مراحل تکرار، تأثیر و رفع ایده آل را وارد کنید.
• می‌کوشیم ظرف 48 ساعت پاسخ دهیم و ظرف یک هفته شدت مشکل را ارزیابی کنیم. مشکلات بسیار جدی نسخه‌ای خارج از چرخه معمول دریافت می‌کنند.
• پنجره افشا: 90 روز از گزارش اولیه یا زودتر با توافق دوجانبه.
• در حال حاضر هیچ جایزه پرداختی وجود ندارد - ما گزارشگران را در یادداشت‌های انتشار اعتبار می‌دهیم (با اجازه).