מודל אבטחה

כיצד WindowsHelper מגן על המחשב האישי שלך + הטלפון שלך, באיזו קריפטוגרפיה אנו משתמשים ומפני מה איננו מתגוננים במפורש. עדכון אחרון: 25-04-2026.

מחזור חיים של קוד צימוד

קוד ההתאמה הוא הסוד המשותף שממנו נגזרת כל פעולת קריפטו אחרת. מחזור החיים המלא:

[ הטלפון מייצר קוד אקראי בן 8 תווים ]
   ↓
[ הטלפון כותב את הקוד + sessionId אל Firestore במסמך pc_connections ]
   ↓
[ הטלפון מציג את הקוד למשתמש על המסך ]
   ↓
[ המשתמש קורא את הקוד ומקליד אותו בשדה הקלט של Companion ]
   ↓
[ Companion מחפש ב-Firestore הפעלה ממתינה שתואמת לקוד ]
   ↓
[ שני הצדדים גוזרים מפתחות הצפנה מ-SHA-256(קוד, sessionId) ]
   ↓
[ הקוד נשאר בזיכרון בשני הצדדים; אף אחד מהם אינו כותב אותו ל-Firestore ]
   ↓
[ ניתוק / התאמה מחדש מוחקים את הקוד משני הצדדים ]

• אקראי: קודים שנוצרו באמצעות RNG מאובטחים מבחינה קריפטוגרפית.
• אלפבית של 30 תווים × 8 מיקומים ≈ 656 מיליארד צירופים. לא כולל I, L, O, Z, 0 ו-1 כדי למנוע בלבול חזותי, לא מטעמי אבטחה — מרחב הקודים צפוף מספיק כדי שחלון של 10 דקות לניסוי כוח גס, עם מגבלות הקצב של Firestore, לא יהיה מעשי.
• נשמר מוצפן במחשב הזה. Companion שומר את הקוד ברישום של חשבון Windows שלכם, מוצפן באמצעות DPAPI, כדי שיוכל להתחבר מחדש אחרי הפעלה מחדש.
• נמחק כשמתנתקים ומנקים את הסשן, מחליפים את הקוד או מסירים את ההתקנה. סגירת האפליקציה שומרת אותו, כדי ש-Companion יוכל להתחבר מחדש.

קריפטוגרפיה

AES-256-GCM (סודיות פקודה + שלמות)

כל פקודה הנשלחת דרך החוט מוצפנת עם AES-256-GCM, מצב הצפנה מאומת.

• מפתח: 256 סיביות, נגזר כ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 ביטים (12 בתים), שנוצרו טרי לכל הודעה באמצעות Random.secure() בטלפון או RandomNumberGenerator בצד Companion.
• תג אישור: 128 סיביות (16 בתים), מצורפים לטקסט הצופן.
• פורמט חוט: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• בטיחות מפני שימוש חוזר ב-nonce: ערכי nonce באורך 96 סיביות מ-CSPRNG שומרים על הסתברות התנגשות לפי פרדוקס יום ההולדת סביב 2⁻³² לאורך 2³² הודעות במפתח הפעלה אחד — זהו הגבול התקני ל-nonce אקראי ב-GCM, והרבה מעבר לכל נפח פקודות סביר.

HMAC-SHA256 (אותנטיות פקודה)

כל פקודה נושאת גם חתימת HMAC כך שטלפון שלא יודע את קוד ההתאמה לא יכול להחדיר פקודות גם אם הוא יכול לכתוב ל-Firestore.

• מפתח: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). הפרד ממפתח ההצפנה.
• היקף שדה: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). הצינורות הם דמויות מקטרות מילוליות, לא תוחמים - שלוש מחרוזות משורשרות.
• סדר האימות: ה-HMAC מאומת לפני הפענוח. הודעות מזויפות אינן מבזבזות ולו מחזור מעבד אחד על פעולות הצפנה.

מודל איום

איום	סטטוס	הערות
מצותת ברשת המקומית	ממתן	טקסט צופן AES-GCM אטום למשקיפים של MITM.
ציתות בשרתי Firestore	ממתן	גוגל רואה בלוקים של AESGCM:..., לא פקודות.
תוקף שיכול לכתוב ל-Firestore אבל לא יודע את הקוד	ממתן	אימות HMAC נכשל; ‏Companion מתעד את הדחייה ומסרב להריץ.
תוקף שפצח / פישל את קוד ההתאמה	שארית	הם יכולים להוציא פקודות כאילו היו המשתמש. הקלה: סובב את הקוד מתפריט המגש.
השמעה חוזרת של פקודה מוקלטת	שארית	sentAtMillis קשור ל-HMAC; Companion עדיין לא אוכף חלון תוקף. תיקון עתידי יוסיף זמן תפוגה.
תוקף לא מאומת במצב LAN	ממתן	לחיצת יד של זוג WebSocket מאמתת את הקוד; שער HMAC + AES כל פקודה שלאחר מכן.
טלפון נפרץ עם מפתח התאמה גנוב	שארית	לא ניתן להבחין מ"המשתמש עצמו". הקלה: מגבלת קצב (10 cmd/min) + אישור פקודה הרסני מחייבת לחיצה בצד המחשב.
פקודה שגויה מאפליקציית הטלפון	ממתן	רשימת ההיתרים בצד הטלפון חוסמת קידומות לא מוכרות; הבדיקה המקדימה בצד Companion חוסמת פקודות המכוונות לשירותים שאינם קיימים.
פקודה הרסנית מופעלת בטעות	ממתן	חלון בצד Companion מחייב לחיצה של המשתמש כדי לאשר Remove-Item, Format-Volume, reg delete, shutdown /r וכדומה.
תהליך PowerShell תלוי/בורח	ממתן	לכל פקודה יש מגבלת זמן — 5 דקות כברירת מחדל, 45 לתיקון ארוך, 60 בתקרה הקשיחה — וכל עץ התהליכים נסגר.
התעסקות ב-Companion .exe בין הורדה להפעלה	ממתן	SHA-256 מתפרסם ב-companion-version.json; המשתמשים יכולים לבדוק אותו. חתימת Authenticode מתוכננת לפני ההשקה.
מצב רגיש של Companion קריסה דולף	ממתן	דוחות קריסה + מחיקת שגיאות Firestore מחטאים %USERPROFILE% / %MACHINE% / %USER%.
מכשיר גנוב, מפתח התאמת רישום מתמיד	ממתן	קוד ההתאמה המתמשך מוצפן עם Windows DPAPI (לכל חשבון), כך שלא ניתן לקרוא אותו מדיסק שהועתק או מחשבון Windows אחר.

מחוץ לתחום

דברים ש-WindowsHelper במפורש אינו מגן מפניהם:

• חשבון Windows נפרץ מפעיל את המלווה. אנו מניחים שהמחשב האישי של המשתמש הוא שלהם. תוקף עם אדמין במחשב האישי של המשתמש כבר ניצח.
• אפליקציית טלפון נפגעת בינארית. אנחנו לא חותמים על תוכנות Android/iOS נגד שיבוש מעבר למה שחנות האפליקציות של הפלטפורמה מספקת.
• יריבים ברמה של מדינות שיש להם משאבים לפרוץ את Firestore של Google או את רשויות האישורים שעליהן נשען HTTPS. המוצר הזה מכוון לאיומים ברמת המשתמש הביתי — האקרים מתחילים, סקרנים מזדמנים, בני בית ממורמרים — ולא לממשלות.
• התקפות ערוץ צדדי על AES-GCM באמצעות ניתוח צריכת חשמל או קרינה אלקטרומגנטית. ‏Companion אינו כרטיס חכם.

גילוי נאות

• דוא"ל support@windowshelper.app עם נושא [security].
• נא לכלול מספרי גרסה, שלבי חידוש, השפעה ותיקון אידיאלי.
• אנחנו שואפים לענות תוך 48 שעות ולהעריך את החומרה תוך שבוע. בעיות בחומרה גבוהה מקבלות גרסה מחוץ למחזור הרגיל.
• חלון גילוי: 90 יום מהדיווח הראשוני, או מוקדם יותר בהסכמה הדדית.
• אין פרס באג בתשלום כרגע - אנחנו מפרסמים את הכתבים בהערות שחרור (עם רשות).