← Natrag na WindowsHelper

Sigurnosni model

Kako WindowsHelper štiti vaše računalo + vaš telefon, koju kriptografiju koristimo i od čega se izričito ne branimo. Zadnje ažuriranje: 2026-04-25.

prijavljivanje ranjivosti

E-mail support@windowshelper.app sa predmetom [security]. Nemojte otvarati javne probleme s GitHubom — dajte nam vrijeme da pošaljemo popravak prije otkrivanja.

Životni ciklus koda za uparivanje

Kod za uparivanje je zajednička tajna iz koje proizlazi svaka druga kripto operacija. Puni životni ciklus:

[ Telefon STVARA nasumični kod od 8 znakova ]
   ↓
[ Telefon ZAPISUJE kod + sessionId u Firestore, u dokument pc_connections ]
   ↓
[ Telefon PRIKAZUJE kod korisniku na zaslonu ]
   ↓
[ Korisnik ČITA kod i upisuje ga u polje Companiona ]
   ↓
[ Companion PRETRAŽUJE Firestore za sesiju na čekanju koja odgovara kodu ]
   ↓
[ Obje strane IZVODE kriptografske ključeve iz SHA-256(kod, sessionId) ]
   ↓
[ Kod OSTAJE u memoriji na obje strane; nijedna ga ne zapisuje u Firestore ]
   ↓
[ Prekid veze / ponovno uparivanje BRIŠE kod s obje strane ]

Slučajno: kodovi generirani putem kriptografski sigurnih RNG-ova.
Abeceda od 30 znakova × 8 mjesta ≈ 656 milijardi kombinacija. Izostavlja I, L, O, Z, 0 i 1 radi vizualne zabune, ne iz sigurnosnih razloga — prostor kodova dovoljno je gust da je desetominutni prozor za napad grubom silom, uz Firestoreova ograničenja brzine, neizvediv.
Čuva se šifrirano na ovom računalu. Companion sprema kod u registar vašeg Windows računa, šifriran pomoću DPAPI-ja, kako bi se nakon ponovnog pokretanja mogao ponovno povezati.
Briše se kad prekinete vezu i očistite sesiju, promijenite kod ili deinstalirate. Zatvaranje aplikacije ga zadržava, kako bi se Companion mogao ponovno povezati.

Kriptografija

AES-256-GCM (povjerljivost naredbi + integritet)

Svaka naredba poslana putem žice šifrirana je s AES-256-GCM, načinom autentificirane enkripcije.

ključ: 256 bita, izvedeno kao SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 bita (12 bajtova), svježe generirano po poruci putem Random.secure() na telefonu ili RandomNumberGenerator na strani Companion.
Auth oznaka: 128 bita (16 bajtova), pridodanih šifriranom tekstu.
Format žice: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Sigurnost od ponovne uporabe noncea: 96-bitni nonceovi iz CSPRNG-a drže vjerojatnost sudara prema rođendanskom paradoksu na oko 2⁻³² tijekom 2³² poruka s jednim ključem sesije — to je standardna granica za nasumične GCM nonceove i daleko iznad svakog uvjerljivog broja naredbi.

HMAC-SHA256 (autentičnost naredbe)

Svaka naredba također nosi HMAC potpis tako da telefon koji ne zna kod za uparivanje ne može ubaciti naredbe čak i ako može pisati u Firestore.

ključ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Odvojite od ključa za šifriranje.
Opseg polja: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Crte su doslovni znakovi cijevi, a ne razdjelnici — tri spojena niza.
Redoslijed provjere: HMAC se provjerava prije dešifriranja. Krivotvorene poruke ne troše nijedan ciklus procesora na kriptografske operacije.

Model prijetnje

Prijetnja	Status	Bilješke
Prisluškivač na lokalnoj mreži	Ublažen	AES-GCM šifrirani tekst neproziran je MITM promatračima.
Prisluškivač na Firestore serverima	Ublažen	Google vidi blokove `AESGCM:...`, a ne naredbe.
Napadač koji može pisati Firestoreu, ali ne zna kod	Ublažen	HMAC provjera ne uspijeva; Companion bilježi odbijanje i odbija izvršenje.
Napadač koji je provalio/krao šifru za uparivanje	Zaostalo	Oni mogu izdavati naredbe kao da su korisnik. Ublažavanje: rotirajte kod iz izbornika trake.
Reprodukcija snimljene naredbe	Zaostalo	`sentAtMillis` vezan je uz HMAC; Companion još ne nameće prozor valjanosti. Budući popravak dodat će rok valjanosti.
Neautorizirani napadač u LAN načinu rada	Ublažen	WebSocket par rukovanja potvrđuje kod; HMAC + AES gate svaka sljedeća naredba.
Kompromitirani telefon s ukradenim ključem za uparivanje	Zaostalo	Ne razlikuje se od "samog korisnika". Ublažavanje: ograničenje brzine (10 cmd/min) + potvrda destruktivne naredbe zahtijeva klik na strani računala.
Pogrešno upisana naredba iz telefonske aplikacije	Ublažen	Popis dopuštenih na strani telefona blokira nepoznate prefikse; predprovjera na strani Companion blokira naredbe usmjerene na nepostojeće usluge.
Slučajno pokretanje destruktivne naredbe	Ublažen	Prozor na strani aplikacije Companion traži korisnikov klik za odobrenje `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` i sličnih.
Zaustavljeni/pobjegli PowerShell proces	Ublažen	Svaka je naredba vremenski ograničena — 5 minuta zadano, 45 za dugotrajan popravak, 60 na tvrdoj granici — i gasi se cijelo stablo procesa.
Companion .exe miješanje između preuzimanja i pokretanja	Ublažen	SHA-256 objavljen je u `companion-version.json`; korisnici ga mogu provjeriti. Potpis Authenticode planiran je prije pokretanja.
Companion rušenje curi osjetljivo stanje	Ublažen	Izvješća o rušenju programa + saniranje povratnih zapisa o pogreškama Firestorea `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Ukraden uređaj, uporni ključ za uparivanje registra	Ublažen	Postojani kod za uparivanje šifriran je s Windows DPAPI (po računu), tako da se ne može pročitati s kopiranog diska ili drugog Windows računa.

Izvan opsega

Stvari od kojih WindowsHelper izričito ne štiti:

Ugrožen Windows račun trčanje pratioca. Pretpostavljamo da je računalo korisnika njihovo. Napadač s administratorom na korisničkom računalu već je pobijedio.
Ugrožena binarna datoteka telefonske aplikacije. Ne potpisujemo nadogradnje Android/iOS protiv neovlaštenog mijenjanja izvan onoga što nudi trgovina aplikacija platforme.
Protivnici na razini država s resursima da probiju Firestore tvrtke Google ili certifikacijska tijela na kojima počiva HTTPS. Ovaj proizvod cilja na prijetnje na razini običnih korisnika — početnike hakere, slučajne njuškale, nezadovoljne ukućane — a ne na vlade.
Napadi bočnim kanalom na AES-GCM analizom potrošnje ili elektromagnetskog zračenja. Companion nije pametna kartica.

Razotkrivanje

E-mail support@windowshelper.app sa predmetom [security].
Uključite brojeve verzija, korake za ponavljanje, učinak i idealno rješenje.
Nastojimo odgovoriti u roku od 48 sati i procijeniti ozbiljnost u roku od tjedan dana. Ozbiljni problemi dobivaju izdanje izvan redovitog ciklusa.
Period objave: 90 dana od početnog izvješća ili ranije prema zajedničkom dogovoru.
Trenutačno nema plaćene nagrade za bugove — novinarima pripisujemo priznanje u bilješkama o izdanju (uz dopuštenje).