Sigurnosni model

Kako WindowsHelper štiti vaše računalo + vaš telefon, koju kriptografiju koristimo i od čega se izričito ne branimo. Zadnje ažuriranje: 2026-04-25.

Životni ciklus koda za uparivanje

Kod za uparivanje je zajednička tajna svaka druga kripto operacija proizlazi iz. Puni životni ciklus:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Slučajno: kodovi generirani putem kriptografski sigurnih RNG-ova.
• abeceda od 32 znaka × 8 pozicija ≈ 1,1 trilijuna kombinacija. Isključuje I/O/0/1 kako bi se izbjegla vizualna dvosmislenost, a ne sigurnosni značaj — prostor koda dovoljno je gust da je 5-minutni brute-force prozor s ograničenjima stope Firestore neizvediv.
• Nijedna strana nikad nije pisala Firestoreu. Nosi samo dokument sesije ČEKANJA pairingCode; kada se upari, kod ostaje isključivo u memoriji.
• Brisanje u memoriji prilikom prekida veze, ponovnog uparivanja ili zatvaranja aplikacije.

Kriptografija

AES-256-GCM (povjerljivost naredbi + integritet)

Svaka naredba poslana putem žice šifrirana je s AES-256-GCM, načinom autentificirane enkripcije.

• ključ: 256 bita, izvedeno kao SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Jednokratno: 96 bita (12 bajtova), svježe generirano po poruci putem Random.secure() na telefonu ili RandomNumberGenerator na suputniku.
• Auth oznaka: 128 bita (16 bajtova), pridodanih šifriranom tekstu.
• Format žice: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Sigurnost bez ponovne upotrebe: 96-bitni jednokratni sadržaji iz CSPRNG-a daju vjerojatnost kolizije rođendanskog paradoksa od ~2⁻³² nakon 2⁴⁸ poruka — astronomski izvan dosega za bilo koju moguću glasnoću naredbi.

HMAC-SHA256 (autentičnost naredbe)

Svaka naredba također nosi HMAC potpis tako da telefon koji ne zna kod za uparivanje ne može ubaciti naredbe čak i ako može pisati u Firestore.

• ključ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Odvojite od ključa za šifriranje.
• Opseg polja: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Crte su doslovni znakovi cijevi, a ne razdjelnici — tri spojena niza.
• Redoslijed provjere: HMAC potvrđeno prije dešifriranje. Krivotvorene poruke troše nula CPU ciklusa na kriptografske primitive.

Model prijetnje

Prijetnja	Status	Bilješke
Prisluškivač na lokalnoj mreži	Ublažen	AES-GCM šifrirani tekst neproziran je MITM promatračima.
Prisluškivač na Firestore serverima	Ublažen	Google sees AESGCM:... blobs, not commands.
Napadač koji može pisati Firestoreu, ali ne zna kod	Ublažen	HMAC provjera nije uspjela; pratilac bilježi odbijanje + odbija izvršenje.
Napadač koji je provalio/krao šifru za uparivanje	Zaostalo	Oni mogu izdavati naredbe kao da su korisnik. Ublažavanje: rotirajte kod iz izbornika trake.
Reprodukcija snimljene naredbe	Zaostalo	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Neautorizirani napadač u LAN načinu rada	Ublažen	WebSocket par rukovanja potvrđuje kod; HMAC + AES gate svaka sljedeća naredba.
Kompromitirani telefon s ukradenim ključem za uparivanje	Zaostalo	Ne razlikuje se od "samog korisnika". Ublažavanje: ograničenje brzine (10 cmd/min) + potvrda destruktivne naredbe zahtijeva klik na strani računala.
Pogrešno upisana naredba iz telefonske aplikacije	Ublažen	Popis dopuštenih na strani telefona blokira neprepoznate prefikse; na strani suputnika prije leta blokira naredbe usmjerene na nepostojeće usluge.
Slučajno pokretanje destruktivne naredbe	Ublažen	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Zaustavljeni/pobjegli PowerShell proces	Ublažen	Teško 5-minutno čekanje ubija cijelo stablo procesa.
Companion .exe miješanje između preuzimanja i pokretanja	Ublažen	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion rušenje curi osjetljivo stanje	Ublažen	Izvješća o rušenju programa + saniranje povratnih zapisa o pogreškama Firestorea %USERPROFILE% / %MACHINE% / %USER%.
Ukraden uređaj, uporni ključ za uparivanje registra	Zaostalo	Napadač s pristupom disk + prijava mogao bi pročitati ustrajni kod. Budući popravak omotava ga s Windows DPAPI.

Izvan opsega

Stvari koje WindowsHelper eksplicitno radi nije obraniti od:

• Ugrožen Windows račun trčanje pratioca. Pretpostavljamo da je računalo korisnika njihovo. Napadač s administratorom na korisničkom računalu već je pobijedio.
• Ugrožena binarna datoteka telefonske aplikacije. Ne potpisujemo nadogradnje Android/iOS protiv neovlaštenog mijenjanja izvan onoga što nudi trgovina aplikacija platforme.
• Protivnici na državnoj razini s resursima za potkopavanje Googleovog Firestorea ili DigiCertovog PKI-ja. Ovaj proizvod cilja na prijetnje potrošačke razine - scenariste, povremena njuškala, nezadovoljne članove kućanstva - ne vlade.
• Napadi s bočnog kanala na AES-GCM putem analize snage / EM. Suputnik nije pametna kartica.

Razotkrivanje

• E-mail support@windowshelper.app sa predmetom [security].
• Uključite brojeve verzija, korake za ponavljanje, učinak i idealno rješenje.
• Prvi odgovor unutar 48 sati. Trijažirana težina unutar jednog tjedna. Problemi visoke ozbiljnosti dobivaju izdanje izvan ciklusa.
• Period objave: 90 dana od početnog izvješća ili ranije prema zajedničkom dogovoru.
• Trenutačno nema plaćene nagrade za bugove — novinarima pripisujemo priznanje u bilješkama o izdanju (uz dopuštenje).