सुरक्षा मॉडल

WindowsHelper आपके पीसी + आपके फोन की सुरक्षा कैसे करता है, हम किस क्रिप्टोग्राफी का उपयोग करते हैं, और हम स्पष्ट रूप से किससे बचाव नहीं करते हैं। अंतिम अद्यतन: 2026-04-25।

युग्मन-कोड जीवनचक्र

युग्मन कोड है साझा रहस्य प्रत्येक अन्य क्रिप्टो ऑपरेशन से प्राप्त होता है। संपूर्ण जीवनचक्र:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• यादृच्छिक: क्रिप्टोग्राफ़िक रूप से सुरक्षित आरएनजी के माध्यम से उत्पन्न कोड।
• 32-अक्षर वर्णमाला × 8 स्थिति ≈ 1.1 ट्रिलियन संयोजन। दृश्य अस्पष्टता से बचने के लिए I/O/0/1 को बाहर रखा गया है, सुरक्षा महत्व से नहीं - कोडस्पेस इतना सघन है कि फायरस्टोर दर सीमा के साथ 5 मिनट की ब्रूट-फोर्स विंडो संभव नहीं है।
• किसी भी पक्ष की ओर से फायरस्टोर को कभी नहीं लिखा गया। केवल प्रतीक्षा सत्र दस्तावेज़ ही साथ रखता है pairingCode; एक बार युग्मित हो जाने पर, कोड विशेष रूप से मेमोरी में रहता है।
• इन-मेमोरी वाइप डिस्कनेक्ट, री-पेयर, या ऐप बंद करने पर।

क्रिप्टोग्राफी

AES-256-GCM (कमांड गोपनीयता + अखंडता)

तार पर भेजा गया प्रत्येक कमांड AES-256-GCM, एक प्रमाणित-एन्क्रिप्शन मोड के साथ एन्क्रिप्ट किया गया है।

• कुंजी: 256 बिट्स, के रूप में व्युत्पन्न SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• गैर: 96 बिट्स (12 बाइट्स), प्रति संदेश ताज़ा रूप से उत्पन्न Random.secure() फ़ोन पर या RandomNumberGenerator साथी पर.
• प्रामाणिक टैग: 128 बिट्स (16 बाइट्स), सिफरटेक्स्ट से जुड़े।
• तार प्रारूप: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• दोबारा उपयोग न करने की सुरक्षा: सीएसपीआरएनजी से 96-बिट नॉन्स 2⁴⁸ संदेशों के बाद ~2⁻³² की जन्मदिन-विरोधाभास टकराव की संभावना देते हैं - किसी भी प्रशंसनीय कमांड वॉल्यूम के लिए खगोलीय रूप से पहुंच से बाहर।

HMAC-SHA256 (कमांड प्रामाणिकता)

प्रत्येक कमांड में एक HMAC हस्ताक्षर भी होता है, इसलिए एक फ़ोन जो पेयरिंग कोड नहीं जानता है वह कमांड इंजेक्ट नहीं कर सकता है, भले ही वह फायरस्टोर को लिख सकता हो।

• कुंजी: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). एन्क्रिप्शन कुंजी से अलग करें.
• फ़ील्ड का दायरा: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). पाइप शाब्दिक पाइप वर्ण हैं, सीमांकक नहीं - तीन संयोजित तार।
• सत्यापन आदेश: एचएमएसी ने सत्यापित किया पहले डिक्रिप्शन। जाली संदेश क्रिप्टोग्राफ़िक प्राइमेटिव पर शून्य सीपीयू चक्र बर्बाद करते हैं।

खतरा मॉडल

धमकी	स्थिति	टिप्पणियाँ
स्थानीय नेटवर्क पर छिपकर बातें सुनने वाला	शमन किया गया	एईएस-जीसीएम सिफरटेक्स्ट एमआईटीएम पर्यवेक्षकों के लिए अपारदर्शी है।
फायरस्टोर सर्वर पर छिपकर बातें सुनने वाला	शमन किया गया	Google sees AESGCM:... blobs, not commands.
हमलावर जो फायरस्टोर को लिख सकता है लेकिन कोड नहीं जानता	शमन किया गया	HMAC सत्यापन विफल; साथी अस्वीकृति को लॉग करता है + निष्पादन से इनकार करता है।
हमलावर जिसने पेयरिंग कोड को क्रैक/फ़िश किया	अवशिष्ट	वे ऐसे आदेश जारी कर सकते हैं जैसे कि वे उपयोगकर्ता हों। शमन: ट्रे मेनू से कोड घुमाएँ।
रिकॉर्ड किए गए आदेश को दोबारा चलाना	अवशिष्ट	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-मोड अप्रमाणित हमलावर	शमन किया गया	वेबसॉकेट जोड़ी हैंडशेक कोड को मान्य करता है; एचएमएसी + एईएस प्रत्येक आगामी कमांड को गेट करता है।
चोरी हुई पेयरिंग कुंजी के साथ क्षतिग्रस्त फोन	अवशिष्ट	"स्वयं उपयोगकर्ता" से अप्रभेद्य। शमन: दर सीमा (10 सीएमडी/मिनट) + विनाशकारी-कमांड पुष्टि के लिए पीसी-साइड क्लिक की आवश्यकता होती है।
फ़ोन ऐप से गलत टाइप किया गया कमांड	शमन किया गया	फ़ोन-साइड अनुमति सूची गैर-मान्यता प्राप्त उपसर्गों को अवरुद्ध करती है; गैर-मौजूद सेवाओं को लक्षित करने वाले साथी-पक्ष प्री-फ़्लाइट ब्लॉक कमांड।
विनाशकारी आदेश आकस्मिक रूप से चला	शमन किया गया	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
त्रिशंकु/भगोड़ा पॉवरशेल प्रक्रिया	शमन किया गया	5 मिनट का कठिन समयबाह्य संपूर्ण प्रक्रिया वृक्ष को नष्ट कर देता है।
Companion डाउनलोड और चलाने के बीच .exe से छेड़छाड़	शमन किया गया	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion क्रैश लीक होने की संवेदनशील स्थिति	शमन किया गया	क्रैश रिपोर्ट + फायरस्टोर त्रुटि राइटबैक सैनिटाइज़ %USERPROFILE% / %MACHINE% / %USER%.
डिवाइस चोरी हो गया, रजिस्ट्री युग्मन कुंजी बनी रही	अवशिष्ट	डिस्क + लॉगिन एक्सेस वाला एक हमलावर मौजूदा कोड को पढ़ सकता है। फ़्यूचर फ़िक्स इसे Windows DPAPI के साथ लपेटता है।

दायरे से बाहर

चीज़ें WindowsHelper स्पष्ट रूप से करता है नहीं के विरुद्ध बचाव:

• समझौता किया गया Windows खाता साथी को चलाना. हम मानते हैं कि उपयोगकर्ता का पीसी उनका है। उपयोगकर्ता के पीसी पर एडमिन वाला हमलावर पहले ही जीत चुका है।
• समझौताकृत फ़ोन ऐप बाइनरी। हम प्लेटफ़ॉर्म के ऐप स्टोर द्वारा प्रदान की जाने वाली सुविधाओं से परे छेड़छाड़ के विरुद्ध एंड्रॉइड/आईओएस बिल्ड पर हस्ताक्षर नहीं करते हैं।
• राज्य स्तरीय विरोधी Google के Firestore या DigiCert के PKI को नष्ट करने के संसाधनों के साथ। यह उत्पाद उपभोक्ता-श्रेणी के खतरों को लक्षित करता है - स्क्रिप्ट किडीज़, कैज़ुअल स्नूपर्स, असंतुष्ट घरेलू सदस्य - सरकारों को नहीं।
• साइड-चैनल हमले पावर/ईएम विश्लेषण के माध्यम से एईएस-जीसीएम पर। कंपेनियन कोई स्मार्टकार्ड नहीं है.

प्रकटीकरण

• ईमेल support@windowshelper.app विषय के साथ [security].
• कृपया संस्करण संख्याएं, रेप्रो चरण, प्रभाव और आदर्श समाधान शामिल करें।
• 48 घंटे के भीतर पहली प्रतिक्रिया. एक सप्ताह के भीतर गंभीरता का निदान। उच्च-गंभीरता वाले मुद्दों को चक्र से बाहर रिलीज़ मिलता है।
• प्रकटीकरण विंडो: प्रारंभिक रिपोर्ट से 90 दिन, या आपसी सहमति से पहले।
• वर्तमान में कोई भुगतान किया गया बग बाउंटी नहीं है - हम रिलीज नोट्स में पत्रकारों को श्रेय देते हैं (अनुमति के साथ)।