सुरक्षा मॉडल

WindowsHelper आपके पीसी + आपके फोन की सुरक्षा कैसे करता है, हम किस क्रिप्टोग्राफी का उपयोग करते हैं, और हम स्पष्ट रूप से किससे बचाव नहीं करते हैं। अंतिम अद्यतन: 2026-04-25।

युग्मन-कोड जीवनचक्र

युग्मन कोड वह साझा रहस्य है जिससे हर दूसरा क्रिप्टो ऑपरेशन प्राप्त होता है। संपूर्ण जीवनचक्र:

[ फ़ोन 8 अक्षरों का यादृच्छिक कोड बनाता है ]
   ↓
[ फ़ोन कोड + sessionId को Firestore के pc_connections दस्तावेज़ में लिखता है ]
   ↓
[ फ़ोन कोड को स्क्रीन पर उपयोगकर्ता को दिखाता है ]
   ↓
[ उपयोगकर्ता कोड पढ़ता है और उसे Companion के इनपुट बॉक्स में टाइप करता है ]
   ↓
[ Companion कोड से मेल खाने वाले प्रतीक्षारत सत्र के लिए Firestore में खोज करता है ]
   ↓
[ दोनों पक्ष SHA-256(कोड, sessionId) से एन्क्रिप्शन कुंजियाँ प्राप्त करते हैं ]
   ↓
[ कोड दोनों पक्षों की मेमोरी में रहता है; कोई भी इसे Firestore में नहीं लिखता ]
   ↓
[ डिस्कनेक्ट / दोबारा युग्मन दोनों पक्षों से कोड मिटा देता है ]

• यादृच्छिक: क्रिप्टोग्राफ़िक रूप से सुरक्षित आरएनजी के माध्यम से उत्पन्न कोड।
• 30-अक्षर की वर्णमाला × 8 स्थान ≈ 656 अरब संयोजन। दृश्य भ्रम से बचने के लिए I, L, O, Z, 0 और 1 छोड़े गए हैं — सुरक्षा कारणों से नहीं। कोड-स्थान इतना सघन है कि Firestore की दर-सीमाओं के साथ 10 मिनट की ब्रूट-फ़ोर्स खिड़की व्यावहारिक नहीं है।
• इस पीसी पर एन्क्रिप्ट करके रखा जाता है। Companion कोड को आपके Windows खाते की रजिस्ट्री में DPAPI से एन्क्रिप्ट करके सहेजता है, ताकि रीस्टार्ट के बाद फिर से जुड़ सके।
• मिटा दिया जाता है जब आप डिस्कनेक्ट करके सत्र साफ़ करते हैं, कोड बदलते हैं या अनइंस्टॉल करते हैं। ऐप बंद करने पर यह बना रहता है, ताकि Companion फिर से जुड़ सके।

क्रिप्टोग्राफी

AES-256-GCM (कमांड गोपनीयता + अखंडता)

तार पर भेजा गया प्रत्येक कमांड AES-256-GCM, एक प्रमाणित-एन्क्रिप्शन मोड के साथ एन्क्रिप्ट किया गया है।

• कुंजी: 256 बिट्स, के रूप में व्युत्पन्न SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 बिट्स (12 बाइट्स), प्रति संदेश ताज़ा रूप से उत्पन्न Random.secure() फ़ोन पर या RandomNumberGenerator Companion पर।
• प्रामाणिक टैग: 128 बिट्स (16 बाइट्स), सिफरटेक्स्ट से जुड़े।
• तार प्रारूप: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Nonce दोबारा इस्तेमाल न होने की सुरक्षा: CSPRNG से आए 96-बिट nonce एक सेशन कुंजी पर 2³² संदेशों तक बर्थडे-पैराडॉक्स टकराव की संभावना लगभग 2⁻³² पर बनाए रखते हैं — यह यादृच्छिक GCM nonce की मानक सीमा है, और किसी भी संभावित कमांड संख्या से कहीं अधिक है।

HMAC-SHA256 (कमांड प्रामाणिकता)

प्रत्येक कमांड में एक HMAC हस्ताक्षर भी होता है, इसलिए एक फ़ोन जो पेयरिंग कोड नहीं जानता है वह कमांड इंजेक्ट नहीं कर सकता है, भले ही वह फायरस्टोर को लिख सकता हो।

• कुंजी: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). एन्क्रिप्शन कुंजी से अलग करें.
• फ़ील्ड का दायरा: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). पाइप शाब्दिक पाइप वर्ण हैं, सीमांकक नहीं - तीन संयोजित तार।
• सत्यापन का क्रम: डिक्रिप्शन से पहले HMAC सत्यापित किया जाता है। जाली संदेश क्रिप्टोग्राफ़िक संक्रियाओं पर एक भी सीपीयू चक्र बर्बाद नहीं करते।

खतरा मॉडल

धमकी	स्थिति	टिप्पणियाँ
स्थानीय नेटवर्क पर छिपकर बातें सुनने वाला	शमन किया गया	AES-GCM सिफरटेक्स्ट एमआईटीएम पर्यवेक्षकों के लिए अपारदर्शी है।
फायरस्टोर सर्वर पर छिपकर बातें सुनने वाला	शमन किया गया	Google को AESGCM:... ब्लॉब दिखते हैं, आदेश नहीं।
हमलावर जो फायरस्टोर को लिख सकता है लेकिन कोड नहीं जानता	शमन किया गया	HMAC सत्यापन विफल हो जाता है; Companion अस्वीकृति दर्ज करता है और चलाने से मना कर देता है।
हमलावर जिसने पेयरिंग कोड को क्रैक/फ़िश किया	अवशिष्ट	वे ऐसे आदेश जारी कर सकते हैं जैसे कि वे उपयोगकर्ता हों। शमन: ट्रे मेनू से कोड घुमाएँ।
रिकॉर्ड किए गए आदेश को दोबारा चलाना	अवशिष्ट	sentAtMillis HMAC से बंधा है; Companion अभी वैधता अवधि लागू नहीं करता। भविष्य का एक सुधार समाप्ति अवधि जोड़ेगा।
LAN-मोड अप्रमाणित हमलावर	शमन किया गया	वेबसॉकेट जोड़ी हैंडशेक कोड को मान्य करता है; HMAC + AES प्रत्येक आगामी कमांड को गेट करता है।
चोरी हुई पेयरिंग कुंजी के साथ क्षतिग्रस्त फोन	अवशिष्ट	"स्वयं उपयोगकर्ता" से अप्रभेद्य। शमन: दर सीमा (10 सीएमडी/मिनट) + विनाशकारी-कमांड पुष्टि के लिए पीसी-साइड क्लिक की आवश्यकता होती है।
फ़ोन ऐप से गलत टाइप किया गया कमांड	शमन किया गया	फ़ोन की ओर की अनुमति-सूची अनजान उपसर्गों को रोकती है; Companion की ओर की पूर्व-जाँच उन कमांड को रोकती है जो मौजूद न होने वाली सेवाओं को लक्ष्य करती हैं।
विनाशकारी आदेश आकस्मिक रूप से चला	शमन किया गया	Companion की ओर की एक विंडो Remove-Item, Format-Volume, reg delete, shutdown /r आदि को मंज़ूरी देने के लिए उपयोगकर्ता का क्लिक माँगती है।
त्रिशंकु/भगोड़ा पॉवरशेल प्रक्रिया	शमन किया गया	हर आदेश की समय-सीमा होती है — डिफ़ॉल्ट रूप से 5 मिनट, लंबे चलने वाले फ़िक्स के लिए 45, सख़्त छत पर 60 — और पूरा प्रोसेस ट्री बंद कर दिया जाता है।
Companion डाउनलोड और चलाने के बीच .exe से छेड़छाड़	शमन किया गया	SHA-256 companion-version.json में प्रकाशित होता है; उपयोगकर्ता इसे जाँच सकते हैं। लॉन्च से पहले Authenticode हस्ताक्षर की योजना है।
Companion क्रैश लीक होने की संवेदनशील स्थिति	शमन किया गया	क्रैश रिपोर्ट + फायरस्टोर त्रुटि राइटबैक सैनिटाइज़ %USERPROFILE% / %MACHINE% / %USER%.
डिवाइस चोरी हो गया, रजिस्ट्री युग्मन कुंजी बनी रही	शमन किया गया	स्थायी युग्मन कोड को Windows DPAPI (प्रति-खाता) के साथ एन्क्रिप्ट किया गया है, इसलिए इसे कॉपी की गई डिस्क या किसी भिन्न Windows खाते से नहीं पढ़ा जा सकता है।

दायरे से बाहर

जिनसे WindowsHelper स्पष्ट रूप से बचाव नहीं करता:

• समझौता किया गया Windows खाता साथी को चलाना. हम मानते हैं कि उपयोगकर्ता का पीसी उनका है। उपयोगकर्ता के पीसी पर एडमिन वाला हमलावर पहले ही जीत चुका है।
• समझौताकृत फ़ोन ऐप बाइनरी। हम प्लेटफ़ॉर्म के ऐप स्टोर द्वारा प्रदान की जाने वाली सुविधाओं से परे छेड़छाड़ के विरुद्ध एंड्रॉइड/आईओएस बिल्ड पर हस्ताक्षर नहीं करते हैं।
• राष्ट्र-स्तरीय विरोधी, जिनके पास Google के Firestore या HTTPS के पीछे के प्रमाणपत्र प्राधिकरणों को तोड़ने के साधन हैं। यह उत्पाद आम उपयोगकर्ता-स्तर के ख़तरों के लिए है — स्क्रिप्ट किडीज़, यूँ ही झाँकने वाले, नाराज़ घरवाले — सरकारों के लिए नहीं।
• पावर / EM विश्लेषण के ज़रिए AES-GCM पर साइड-चैनल हमले। Companion कोई स्मार्ट कार्ड नहीं है।

प्रकटीकरण

• ईमेल support@windowshelper.app विषय के साथ [security].
• कृपया संस्करण संख्याएं, रेप्रो चरण, प्रभाव और आदर्श समाधान शामिल करें।
• हम 48 घंटे में जवाब देने और एक हफ़्ते में गंभीरता तय करने का प्रयास करते हैं। गंभीर समस्याओं को नियमित चक्र से अलग रिलीज़ मिलती है।
• प्रकटीकरण विंडो: प्रारंभिक रिपोर्ट से 90 दिन, या आपसी सहमति से पहले।
• वर्तमान में कोई भुगतान किया गया बग बाउंटी नहीं है - हम रिलीज नोट्स में पत्रकारों को श्रेय देते हैं (अनुमति के साथ)।