Modelo ng Seguridad

Paano pinoprotektahan ng WindowsHelper ang iyong PC + ang iyong telepono, anong cryptography ang ginagamit namin, at kung ano ang tahasang hindi namin ipinagtatanggol. Huling na-update: 2026-04-25.

Ikot ng buhay ng pagpapares-code

Ang pairing code ang nakabahaging lihim na pinagmumulan ng bawat iba pang crypto operation. Ang buong ikot ng buhay:

[ GUMAGAWA ang telepono ng random na code na 8 karakter ]
   ↓
[ ISINUSULAT ng telepono ang code + sessionId sa Firestore, sa dokumentong pc_connections ]
   ↓
[ IPINAPAKITA ng telepono ang code sa user sa screen ]
   ↓
[ BINABASA ng user ang code at ini-type ito sa input field ng Companion ]
   ↓
[ HINAHANAP ng Companion sa Firestore ang naghihintay na session na tumutugma sa code ]
   ↓
[ KINUKUHA ng magkabilang panig ang mga crypto key mula sa SHA-256(code, sessionId) ]
   ↓
[ NANANATILI ang code sa memory ng magkabilang panig; wala sa kanila ang nagsusulat nito sa Firestore ]
   ↓
[ BINUBURA ng pag-disconnect / muling pagpapares ang code sa magkabilang panig ]

• Random: mga code na nabuo sa pamamagitan ng cryptographically secure na mga RNG.
• 30-karakter na alpabeto × 8 posisyon ≈ 656 bilyong kombinasyon. Hindi kasama ang I, L, O, Z, 0 at 1 upang maiwasan ang pagkakamali sa paningin, hindi dahil sa seguridad — sapat na siksik ang espasyo ng mga code kaya hindi magagawa ang 10-minutong brute-force na bintana sa ilalim ng mga rate limit ng Firestore.
• Naka-encrypt na itinatago sa PC na ito. Itinatago ng Companion ang code sa Registry ng iyong Windows account, naka-encrypt gamit ang DPAPI, para makakonekta ito muli pagkatapos ng restart.
• Binubura kapag nag-disconnect ka at nilinis ang session, pinalitan ang code, o nag-uninstall. Kapag isinara ang app, nananatili ito, para makakonekta muli ang Companion.

Kriptograpiya

AES-256-GCM (para sa pagiging kumpidensyal at integridad ng command)

Ang bawat command na ipinadala sa pamamagitan ng wire ay naka-encrypt gamit ang AES-256-GCM, isang authenticated-encryption mode.

• Susi: 256 bits, hinango bilang SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Isang nonce: 96 bits (12 bytes), na nabuo sa bawat mensahe sa pamamagitan ng Random.secure() sa telepono o RandomNumberGenerator sa Companion.
• Auth tag: 128 bits (16 bytes), idinagdag sa ciphertext.
• Format ng wire: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Kaligtasan laban sa muling paggamit ng nonce: Pinananatili ng 96-bit na nonces mula sa isang CSPRNG ang posibilidad ng banggaan ayon sa birthday paradox sa humigit-kumulang 2⁻³² sa loob ng 2³² mensahe sa iisang session key — ito ang karaniwang hangganan para sa random na GCM nonces, at malayo sa anumang makatotohanang dami ng utos.

HMAC-SHA256 (para sa pagiging tunay ng command)

Ang bawat command ay mayroon ding HMAC signature kaya ang teleponong hindi alam ang pairing code ay hindi makakapag-inject ng mga command kahit na maaari itong sumulat sa Firestore.

• Susi: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Hiwalay sa encryption key.
• Saklaw ng field: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Ang mga tubo ay literal na mga character ng pipe, hindi mga delimiter - tatlong pinagsama-samang mga string.
• Pagkakasunod-sunod ng pag-verify: ini-verify ang HMAC bago ang decryption. Ang mga pekeng mensahe ay hindi nag-aaksaya ng kahit isang CPU cycle sa mga cryptographic na operasyon.

Modelo ng pananakot

pananakot	Katayuan	Mga Tala
Eavesdropper sa lokal na network	Pinagaan	Ang AES-GCM ciphertext ay opaque sa mga tagamasid ng MITM.
Eavesdropper sa mga server ng Firestore	Pinagaan	Nakikita ng Google ang mga blob na AESGCM:..., hindi mga utos.
Attacker na maaaring sumulat sa Firestore ngunit hindi alam ang code	Pinagaan	Bumagsak ang HMAC verification; nila-log ng Companion ang pagtanggi at hindi ito pinapatakbo.
Attacker na nag-crack / nag-phished ng code ng pagpapares	Nalalabi	Maaari silang mag-isyu ng mga utos na parang sila ang gumagamit. Pagbawas: i-rotate ang code mula sa tray menu.
I-replay ang isang naitala na utos	Nalalabi	Naka-bind sa HMAC ang sentAtMillis; hindi pa ipinapatupad ng Companion ang takdang panahon ng bisa. Magdaragdag ng petsa ng pag-expire ang isang susunod na pag-aayos.
Hindi na-authenticate na attacker ang LAN-mode	Pinagaan	Ang WebSocket pair handshake ay nagpapatunay sa code; HMAC + AES gate sa bawat kasunod na utos.
Nakompromiso ang teleponong may ninakaw na key ng pagpapares	Nalalabi	Hindi makilala sa "ang gumagamit mismo." Pagbawas: limitasyon sa rate (10 cmd/min) + mapanirang-utos na kumpirmasyon ay nangangailangan ng pag-click sa gilid ng PC.
Maling na-type na command mula sa phone app	Pinagaan	Hinaharangan ng allowlist sa panig ng telepono ang mga hindi kilalang prefix; hinaharangan ng pre-flight check sa panig ng Companion ang mga utos na nakatutok sa mga serbisyong wala naman.
Ang mapanirang utos ay tumakbo nang hindi sinasadya	Pinagaan	Isang window sa panig ng Companion ang humihingi ng pag-click ng user para aprubahan ang Remove-Item, Format-Volume, reg delete, shutdown /r, atbp.
Hung / runaway na proseso ng PowerShell	Pinagaan	May hangganan sa oras ang bawat utos — 5 minuto bilang default, 45 para sa mahabang ayos, 60 sa matigas na hangganan — at pinapatay ang buong process tree.
Companion .exe na pakikialam sa pagitan ng pag-download at pagtakbo	Pinagaan	Inilalathala ang SHA-256 sa companion-version.json; puwede itong suriin ng mga user. Nakaplano ang Authenticode signing bago ang paglulunsad.
Ang pag-crash ng Companion na tumutulo sa sensitibong estado	Pinagaan	Ang mga ulat ng pag-crash + Ang mga writeback ng error sa Firestore ay nag-sanitize %USERPROFILE% / %MACHINE% / %USER%.
Ninakaw na device, nagpatuloy sa pagpapares ng Registry key	Pinagaan	Ang patuloy na code ng pagpapares ay naka-encrypt gamit ang Windows DPAPI (bawat-account), kaya hindi ito mababasa mula sa isang kinopyang disk o ibang Windows account.

Wala sa saklaw

Mga bagay na tahasang hindi ipinagtatanggol ng WindowsHelper:

• Nakompromiso ang Windows account tumatakbo ang kasama. Ipinapalagay namin na sa kanila ang PC ng user. Nanalo na ang isang attacker na may admin sa PC ng user.
• Binary ng app ng telepono na nakompromiso. Hindi kami pumipirma sa mga build ng Android/iOS laban sa pakikialam na higit pa sa ibinibigay ng app store ng platform.
• Mga kalaban sa antas ng bansa na may kakayahang pasukin ang Firestore ng Google o ang mga certificate authority sa likod ng HTTPS. Para sa mga banta sa antas ng karaniwang user ang produktong ito — mga baguhang hacker, mga usisero, mga nagtatampong kasambahay — at hindi para sa mga gobyerno.
• Side-channel attacks sa AES-GCM sa pamamagitan ng power / EM analysis. Hindi smartcard ang Companion.

Pagbubunyag

• Email support@windowshelper.app may paksa [security].
• Pakisama ang mga numero ng bersyon, mga hakbang sa repro, epekto, at perpektong pag-aayos.
• Sinisikap naming sumagot sa loob ng 48 oras at tasahin ang bigat ng isyu sa loob ng isang linggo. Ang mga malubhang isyu ay nakakakuha ng release na hiwalay sa karaniwang siklo.
• Palugit ng pagbubunyag: 90 araw mula sa paunang ulat, o mas maaga sa pamamagitan ng magkaparehong kasunduan.
• Walang bayad na bug bounty sa kasalukuyan — nag-credit kami ng mga reporter sa mga tala ng paglabas (nang may pahintulot).