מודל אבטחה

כיצד WindowsHelper מגן על המחשב האישי שלך + הטלפון שלך, באיזו קריפטוגרפיה אנו משתמשים ומפני מה איננו מתגוננים במפורש. עדכון אחרון: 25-04-2026.

מחזור חיים של קוד צימוד

קוד ההתאמה הוא סוד משותף כל פעולת קריפטו אחרת נובעת. מחזור החיים המלא:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• אקראי: קודים שנוצרו באמצעות RNG מאובטחים מבחינה קריפטוגרפית.
• אלפבית 32 תווים × 8 עמדות ≈ 1.1 טריליון שילובים. אינו כולל I/O/0/1 כדי למנוע עמימות חזותית, לא ממשמעות אבטחה - מרחב הקוד צפוף מספיק כדי שחלון כוח גס של 5 דקות עם מגבלות קצב Firestore אינו בר ביצוע.
• מעולם לא נכתב ל-Firestore משני הצדדים. רק מסמך ההפעלה של WAITING נושא pairingCode; לאחר ההתאמה, הקוד נשאר בזיכרון באופן בלעדי.
• ניגוב בזיכרון בעת ניתוק, התאמה מחדש או סגירת אפליקציה.

קריפטוגרפיה

AES-256-GCM (סודיות פקודה + שלמות)

כל פקודה הנשלחת דרך החוט מוצפנת עם AES-256-GCM, מצב הצפנה מאומת.

• מפתח: 256 סיביות, נגזר כ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• לא: 96 ביטים (12 בתים), שנוצרו טרי לכל הודעה באמצעות Random.secure() בטלפון או RandomNumberGenerator על לוויה.
• תג אישור: 128 סיביות (16 בתים), מצורפים לטקסט הצופן.
• פורמט חוט: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• בטיחות ללא שימוש חוזר: 96-bit nonces מ-CSPRNG נותנים הסתברות התנגשות של פרדוקס יום הולדת של ~2⁻³² לאחר 2⁴⁸ הודעות - מבחינה אסטרונומית מחוץ להישג יד לכל נפח פקודה סביר.

HMAC-SHA256 (אותנטיות פקודה)

כל פקודה נושאת גם חתימת HMAC כך שטלפון שלא יודע את קוד ההתאמה לא יכול להחדיר פקודות גם אם הוא יכול לכתוב ל-Firestore.

• מפתח: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). הפרד ממפתח ההצפנה.
• היקף שדה: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). הצינורות הם דמויות מקטרות מילוליות, לא תוחמים - שלוש מחרוזות משורשרות.
• סדר אימות: HMAC מאומת לפני פענוח. הודעות מזויפות מבזבזות אפס מחזורי CPU על פרימיטיבים קריפטוגרפיים.

מודל איום

איום	סטטוס	הערות
מצותת ברשת המקומית	ממתן	טקסט צופן AES-GCM אטום למשקיפים של MITM.
ציתות בשרתי Firestore	ממתן	Google sees AESGCM:... blobs, not commands.
תוקף שיכול לכתוב ל-Firestore אבל לא יודע את הקוד	ממתן	אימות HMAC נכשל; המלווה רושם את הדחייה + מסרב לביצוע.
תוקף שפצח / פישל את קוד ההתאמה	שארית	הם יכולים להוציא פקודות כאילו היו המשתמש. הקלה: סובב את הקוד מתפריט המגש.
השמעה חוזרת של פקודה מוקלטת	שארית	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
תוקף לא מאומת במצב LAN	ממתן	לחיצת יד של זוג WebSocket מאמתת את הקוד; שער HMAC + AES כל פקודה שלאחר מכן.
טלפון נפרץ עם מפתח התאמה גנוב	שארית	לא ניתן להבחין מ"המשתמש עצמו". הקלה: מגבלת קצב (10 cmd/min) + אישור פקודה הרסני מחייבת לחיצה בצד המחשב.
פקודה שגויה מאפליקציית הטלפון	ממתן	רשימת ההיתרים בצד הטלפון חוסמת קידומות לא מזוהות; פקודות חסימות בצד נלווה לפני טיסה המכוונות לשירותים לא קיימים.
פקודה הרסנית מופעלת בטעות	ממתן	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
תהליך PowerShell תלוי/בורח	ממתן	פסק זמן קשה של 5 דקות הורג את כל עץ התהליך.
התעסקות ב-Companion.exe בין הורדה להפעלה	ממתן	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
מצב רגיש של Companion קריסה דולף	ממתן	דוחות קריסה + מחיקת שגיאות Firestore מחטאים %USERPROFILE% / %MACHINE% / %USER%.
מכשיר גנוב, מפתח התאמת רישום מתמיד	שארית	תוקף עם גישת דיסק + כניסה יכול לקרוא את הקוד המתמשך. תיקון עתידי עוטף אותו ב-Windows DPAPI.

מחוץ לתחום

דברים ש-WindowsHelper עושה במפורש לא להתגונן מפני:

• חשבון Windows נפרץ מפעיל את המלווה. אנו מניחים שהמחשב האישי של המשתמש הוא שלהם. תוקף עם אדמין במחשב האישי של המשתמש כבר ניצח.
• אפליקציית טלפון נפגעת בינארית. אנחנו לא חותמים על תוכנות Android/iOS נגד שיבוש מעבר למה שחנות האפליקציות של הפלטפורמה מספקת.
• יריבים ברמת המדינה עם המשאבים כדי לערער את Firestore של Google או של DigiCert's PKI. המוצר הזה מכוון לאיומים ברמה של צרכנים - ילדי תסריט, חטטנים מזדמנים, בני בית ממורמרים - לא ממשלות.
• התקפות ערוץ צדדי על AES-GCM באמצעות ניתוח מתח / EM. הנלווה אינו כרטיס חכם.

גילוי נאות

• דוא"ל support@windowshelper.app עם נושא [security].
• נא לכלול מספרי גרסה, שלבי חידוש, השפעה ותיקון אידיאלי.
• תגובה ראשונה תוך 48 שעות. חומרה טריאגית תוך שבוע. בעיות בחומרה גבוהה מקבלים שחרור מחוץ למחזור.
• חלון גילוי: 90 יום מהדיווח הראשוני, או מוקדם יותר בהסכמה הדדית.
• אין פרס באג בתשלום כרגע - אנחנו מפרסמים את הכתבים בהערות שחרור (עם רשות).