Turvallisuusmalli

Kuinka WindowsHelper suojaa tietokonettasi + puhelintasi, mitä salausta käytämme ja mitä vastaan emme nimenomaisesti suojele. Viimeksi päivitetty: 25-04-2026.

Pariliitoskoodin elinkaari

Pariliitoskoodi on yhteinen salaisuus kaikki muut kryptotoiminnot ovat peräisin. Koko elinkaari:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Satunnainen: kryptografisesti suojattujen RNG:iden kautta luodut koodit.
• 32-merkkinen aakkoset × 8 paikkaa ≈ 1,1 biljoonaa yhdistelmää. Ei sisällä I/O/0/1:tä visuaalisen epäselvyyden, ei turvallisuusmerkityksen välttämiseksi – koodiavaruus on tarpeeksi tiheä, jotta 5 minuutin raa'an voiman ikkuna Firestoren nopeusrajoilla ei ole mahdollista.
• Kumpikaan osapuoli ei koskaan kirjoittanut Firestoreen. Vain WAITING-istunnon asiakirja kuljettaa pairingCode; pariliitoksen muodostamisen jälkeen koodi pysyy vain muistissa.
• Pyyhi muistissa kun yhteys katkaistaan, pariliitos muodostetaan uudelleen tai sovellus suljetaan.

Kryptografia

AES-256-GCM (komentojen luottamuksellisuus + eheys)

Jokainen langan kautta lähetetty komento on salattu AES-256-GCM:llä, autentikoidulla salaustilalla.

• Avain: 256 bittiä, johdettu muodossa SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Seksuaalirikollinen: 96 bittiä (12 tavua), tuotettu juuri per viesti kautta Random.secure() puhelimessa tai RandomNumberGenerator seuralaisen päällä.
• Auth tag: 128 bittiä (16 tavua), liitetty salatekstiin.
• Johdon muoto: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Ei-uudelleenkäyttöturvallisuus: CSPRNG:n 96-bittiset nollaukset antavat syntymäpäiväparadoksin törmäystodennäköisyyden ~2⁻³² 2⁴8 viestin jälkeen – tähtitieteellisesti ulottumattomissa millekään uskottavalle komentovolyymille.

HMAC-SHA256 (komennon aitous)

Jokainen komento sisältää myös HMAC-allekirjoituksen, joten puhelin, joka ei tiedä pariliitoskoodia, ei voi antaa komentoja, vaikka se voisi kirjoittaa Firestoreen.

• Avain: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Erillään salausavaimesta.
• Kentän laajuus: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Putket ovat kirjaimellisia piippumerkkejä, eivät erottimia – kolme ketjutettua merkkijonoa.
• Vahvistustilaus: HMAC varmistettu ennen salauksen purku. Väärennetyt viestit tuhlaavat nollaa CPU-jaksoa kryptografisiin primitiiveihin.

Uhkamalli

Uhka	Tila	Huomautuksia
Salakuuntelija paikallisverkossa	Lievennetty	AES-GCM-salateksti on läpinäkymätön MITM-tarkkailijoille.
Salakuuntelija Firestoren palvelimilla	Lievennetty	Google sees AESGCM:... blobs, not commands.
Hyökkääjä, joka voi kirjoittaa Firestoreen, mutta ei tiedä koodia	Lievennetty	HMAC-vahvistus epäonnistuu; kumppani kirjaa hylkäämisen lokiin + kieltäytyy suorittamasta.
Hyökkääjä, joka mursi/sijoi pariliitoskoodin	Jäännös	He voivat antaa komentoja ikään kuin he olisivat käyttäjä. Lievennys: kierrä koodia lokerovalikosta.
Tallennetun komennon toisto	Jäännös	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-tilassa todentamaton hyökkääjä	Lievennetty	WebSocket-parin kättely vahvistaa koodin; HMAC + AES portti jokaisen seuraavan komennon.
Vaarallinen puhelin varastetulla pariliitosavaimella	Jäännös	Ei erotettavissa "käyttäjästä itsestään". Lievennys: nopeusrajoitus (10 cmd/min) + tuhoavan komennon vahvistus vaatii PC-puolen napsautuksen.
Väärin kirjoitettu komento puhelinsovelluksesta	Lievennetty	Puhelinpuolen sallittujen lista estää tunnistamattomat etuliitteet; kumppanipuolen lentoa edeltävät komennot, jotka kohdistuvat olemattomiin palveluihin.
Tuhoisa komento suoritetaan vahingossa	Lievennetty	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Hang / karannut PowerShell-prosessi	Lievennetty	Kova 5 minuutin aikakatkaisu tappaa koko prosessipuun.
Companion .exe häiritsee lataamista ja suorittamista	Lievennetty	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion kaatumisvuodon herkkä tila	Lievennetty	Kaatumisraportit + Firestore-virhekirjoitukset desinfioidaan %USERPROFILE% / %MACHINE% / %USER%.
Varastettu laite, säilynyt rekisterin pariliitosavain	Jäännös	Hyökkääjä, jolla on levy + kirjautumisoikeudet, voi lukea säilyneen koodin. Tuleva korjaus kattaa sen Windows DPAPI:lla.

Soveltamisalan ulkopuolella

Asiat, joita WindowsHelper nimenomaan tekee ei puolustaa vastaan:

• Vaarantunut Windows-tili juoksemaan seuralaista. Oletamme, että käyttäjän tietokone on hänen. Hyökkääjä, jolla on järjestelmänvalvoja käyttäjän tietokoneella, on jo voittanut.
• Vaarantunut puhelinsovellusbinaari. Emme allekirjoita Android/iOS-rakennuksia peukaloinnin estämiseksi alustan sovelluskaupan tarjoamien lisäksi.
• Valtion tason vastustajat joilla on resursseja Googlen Firestoren tai DigiCertin PKI:n kumoamiseen. Tämä tuote on kohdistettu kuluttajatason uhille – käsikirjoituslapset, satunnaiset nuuskijat, tyytymättömät kotitalouden jäsenet – ei hallituksia.
• Sivukanavahyökkäykset AES-GCM:llä teho/EM-analyysin kautta. Seuralainen ei ole älykortti.

Tietojen paljastaminen

• Sähköposti support@windowshelper.app aiheen kanssa [security].
• Liitä mukaan versionumerot, repro-vaiheet, vaikutus ja ihanteellinen korjaus.
• Ensimmäinen vastaus 48 tunnin sisällä. Testattu vakavuus yhden viikon sisällä. Vakavat ongelmat saavat syklin ulkopuolisen julkaisun.
• Ilmoitusikkuna: 90 päivää alkuperäisestä raportista tai aikaisemmin yhteisestä sopimuksesta.
• Ei maksettua bugipalkkiota tällä hetkellä – mainitsemme toimittajia julkaisutiedoissa (luvalla).