مدل امنیتی

چگونه WindowsHelper از رایانه شخصی + تلفن شما محافظت می‌کند، از چه رمزنگاری استفاده می‌کنیم و صراحتاً از چه چیزی دفاع نمی‌کنیم. آخرین به روز رسانی: 2026-04-25.

چرخه عمر کد جفت شدن

کد جفت شدن است راز مشترک هر عملیات کریپتو دیگری ناشی از. چرخه زندگی کامل:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• تصادفی: کدهای تولید شده از طریق RNG های امن رمزنگاری شده.
• الفبای 32 کاراکتری × 8 موقعیت ≈ 1.1 تریلیون ترکیب. برای جلوگیری از ابهام بصری، نه اهمیت امنیتی، ورودی/خروجی/0/1 را در نظر نمی‌گیرد - فضای کد به اندازه‌ای متراکم است که یک پنجره 5 دقیقه‌ای brute-force با محدودیت‌های نرخ Firestore غیرممکن است.
• هرگز توسط هیچ یک از طرفین به Firestor نوشته نشده است. فقط سند جلسه WAITING حمل می کند pairingCode; پس از جفت شدن، کد منحصراً در حافظه باقی می ماند.
• پاک کردن در حافظه در قطع، جفت مجدد یا بسته شدن برنامه.

رمزنگاری

AES-256-GCM (محرمانه بودن فرمان + یکپارچگی)

هر فرمانی که از طریق سیم ارسال می شود با AES-256-GCM، یک حالت رمزگذاری احراز هویت شده، رمزگذاری می شود.

• کلید: 256 بیت، مشتق شده به عنوان SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• هیچ: 96 بیت (12 بایت) که به تازگی در هر پیام ایجاد شده است Random.secure() روی تلفن یا RandomNumberGenerator روی همراه
• تگ احراز هویت: 128 بیت (16 بایت)، به متن رمز شده اضافه شده است.
• فرمت سیم: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• ایمنی عدم استفاده مجدد: nonces 96 بیتی از یک CSPRNG احتمال برخورد پارادوکس تولد ~2-32 را پس از 248 پیام ارائه می دهد - به طور نجومی برای هر حجم فرمان قابل قبولی دور از دسترس است.

HMAC-SHA256 (اصالت فرمان)

هر فرمان همچنین دارای امضای HMAC است، بنابراین تلفنی که کد جفت شدن را نمی‌داند، حتی اگر بتواند در Firestore بنویسد، نمی‌تواند دستورات را تزریق کند.

• کلید: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). از کلید رمزگذاری جدا کنید.
• محدوده میدان: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). لوله ها نویسه های واقعی لوله هستند، نه جداکننده - سه رشته به هم پیوسته.
• دستور تایید: HMAC تأیید شده است قبل از رمزگشایی پیام‌های جعلی چرخه‌های CPU را در رمزنگاری‌های اولیه هدر می‌دهند.

مدل تهدید

تهدید	وضعیت	یادداشت ها
استراق سمع در شبکه محلی	کاهش یافته است	متن رمزی AES-GCM برای ناظران MITM مبهم است.
استراق سمع سرورهای Firestore	کاهش یافته است	Google sees AESGCM:... blobs, not commands.
مهاجمی که می تواند به Firestore بنویسد اما کد را نمی داند	کاهش یافته است	تأیید HMAC ناموفق است. companion رد را ثبت می کند + اجرا را رد می کند.
مهاجمی که کد جفت شدن را شکست / فیش کرد	باقیمانده	آنها می توانند دستورات را طوری صادر کنند که گویی کاربر هستند. کاهش: کد را از منوی سینی بچرخانید.
بازپخش یک فرمان ضبط شده	باقیمانده	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
مهاجم احراز هویت نشده در حالت LAN	کاهش یافته است	دست دادن جفت WebSocket کد را تأیید می کند. HMAC + AES هر دستور بعدی را گیت می کند.
تلفن به خطر افتاده با کلید جفت شدن به سرقت رفته	باقیمانده	غیر قابل تشخیص از "خود کاربر". کاهش: محدودیت سرعت (10 سانتی متر در دقیقه) + تأیید فرمان مخرب نیاز به کلیک سمت رایانه شخصی دارد.
دستور اشتباه تایپ شده از برنامه تلفن	کاهش یافته است	لیست مجاز سمت تلفن، پیشوندهای ناشناخته را مسدود می کند. دستورات پیش از پرواز سمت همراه را که سرویس‌های موجود را هدف قرار می‌دهند مسدود می‌کند.
فرمان مخرب به طور تصادفی اجرا می شود	کاهش یافته است	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
فرآیند پاورشل آویزان / فراری است	کاهش یافته است	تایم اوت سخت 5 دقیقه ای کل درخت فرآیند را می کشد.
Companion دستکاری exe بین دانلود و اجرا	کاهش یافته است	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion حالت حساس به نشت خرابی	کاهش یافته است	گزارش‌های خرابی + بازنویسی خطاهای Firestore پاکسازی می‌شوند %USERPROFILE% / %MACHINE% / %USER%.
دستگاه دزدیده شده، کلید جفت شدن رجیستری ادامه دارد	باقیمانده	مهاجمی که دسترسی به دیسک + ورود به سیستم داشته باشد می‌تواند کد ادامه‌دار را بخواند. اصلاحات آینده آن را با Windows DPAPI می‌پیچد.

خارج از محدوده

کارهایی که WindowsHelper به صراحت انجام می دهد نه دفاع در برابر:

• حساب Windows به خطر افتاده است اجرای همراه ما فرض می کنیم رایانه شخصی کاربر متعلق به اوست. یک مهاجم با ادمین در رایانه شخصی کاربر قبلاً برنده شده است.
• باینری برنامه تلفن به خطر افتاده است. ما سازه‌های Android/iOS را در برابر دستکاری فراتر از آنچه فروشگاه برنامه پلتفرم ارائه می‌کند امضا نمی‌کنیم.
• دشمنان در سطح دولت با منابعی برای براندازی Firestore Google یا PKI DigiCert. این محصول تهدیدات درجه یک مصرف کننده - بچه های فیلمنامه، جاسوسان معمولی، اعضای ناراضی خانواده - نه دولت ها را هدف قرار می دهد.
• حملات کانال جانبی در AES-GCM از طریق تجزیه و تحلیل قدرت / EM. همراه یک کارت هوشمند نیست.

افشای

• ایمیل support@windowshelper.app با موضوع [security].
• لطفاً شماره نسخه، مراحل تکرار، تأثیر و رفع ایده آل را وارد کنید.
• اولین پاسخ ظرف 48 ساعت شدت تریاژ در عرض یک هفته مسائل با شدت بالا باعث انتشار خارج از چرخه می شوند.
• پنجره افشا: 90 روز از گزارش اولیه یا زودتر با توافق دوجانبه.
• در حال حاضر هیچ جایزه پرداختی وجود ندارد - ما گزارشگران را در یادداشت‌های انتشار اعتبار می‌دهیم (با اجازه).