Biztonsági modell

Hogyan védi a WindowsHelper a számítógépét és a telefonját, milyen titkosítást használunk, és mi ellen nem védekezünk kifejezetten. Utolsó frissítés: 2026-04-25.

Párosítási kód életciklusa

A párosítási kód az a közös titok, amelyből minden más kriptográfiai művelet származik. A teljes életciklus:

[ A telefon LÉTREHOZ egy véletlenszerű, 8 karakteres kódot ]
   ↓
[ A telefon BEÍRJA a kódot + sessionId-t a Firestore pc_connections dokumentumába ]
   ↓
[ A telefon MEGJELENÍTI a kódot a felhasználónak a képernyőn ]
   ↓
[ A felhasználó ELOLVASSA a kódot, és beírja a Companion beviteli mezőjébe ]
   ↓
[ A Companion LEKÉRDEZI a Firestore-ból a kódhoz tartozó várakozó munkamenetet ]
   ↓
[ Mindkét oldal LESZÁRMAZTATJA a titkosítási kulcsokat a SHA-256(kód, sessionId) értékből ]
   ↓
[ A kód MARAD a memóriában mindkét oldalon; egyik sem írja ki a Firestore-ba ]
   ↓
[ A leválasztás / újrapárosítás TÖRLI a kódot mindkét oldalon ]

• Véletlenszerű: kriptográfiailag biztonságos RNG-ken keresztül generált kódok.
• 30 karakteres ábécé × 8 pozíció ≈ 656 milliárd kombináció. Kihagyja az I, L, O, Z, 0 és 1 jeleket a vizuális összetévesztés miatt, nem biztonsági okból — a kódtér elég sűrű ahhoz, hogy egy tízperces nyers erővel törő ablak a Firestore sebességkorlátai mellett kivitelezhetetlen legyen.
• Titkosítva tárolódik ezen a gépen. A Companion a kódot a Windows-fiókja beállításjegyzékében tárolja, DPAPI-val titkosítva, hogy újraindítás után újra tudjon csatlakozni.
• Törlődik, amikor bontja a kapcsolatot és törli a munkamenetet, lecseréli a kódot vagy eltávolítja az alkalmazást. Az alkalmazás bezárása megtartja, hogy a Companion újra tudjon csatlakozni.

Kriptográfia

AES-256-GCM (parancsok titkossága + integritás)

Minden vezetéken keresztül küldött parancs AES-256-GCM-mel, egy hitelesített titkosítási móddal van titkosítva.

• Kulcs: 256 bites, így származtatva SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bit (12 bájt), frissen generálva üzenetenként ezen keresztül Random.secure() telefonon ill RandomNumberGenerator a Companion oldalán.
• Hitelesítési címke: 128 bit (16 bájt), hozzáfűzve a titkosított szöveghez.
• Vezetékes formátum: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Nonce újrafelhasználás elleni biztonság: A CSPRNG-ből származó 96 bites nonce-ok a születésnapi paradoxon szerinti ütközés valószínűségét nagyjából 2⁻³² körül tartják 2³² üzeneten át egyetlen munkamenetkulccsal — ez a véletlenszerű GCM nonce-ok szokásos határa, és messze túl van bármilyen elképzelhető parancsmennyiségen.

HMAC-SHA256 (parancs hitelesség)

Minden parancs tartalmaz egy HMAC-aláírást is, így az a telefon, amely nem ismeri a párosítási kódot, akkor sem tud parancsokat beadni, ha tud írni a Firestore-ba.

• Kulcs: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Külön a titkosítási kulcstól.
• Területi hatókör: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). A csövek szó szerinti csőkarakterek, nem határolók – három összefűzött karakterlánc.
• Ellenőrzési sorrend: a HMAC ellenőrzése a visszafejtés előtt történik. A hamisított üzenetek egyetlen CPU-ciklust sem pazarolnak kriptográfiai műveletekre.

Fenyegetés modell

Fenyegetés	Állapot	Megjegyzések
Lehallgató a helyi hálózaton	Enyhült	Az AES-GCM titkosított szövege átláthatatlan az MITM megfigyelők számára.
Lehallgató a Firestore szervereken	Enyhült	A Google AESGCM:... blokkokat lát, nem parancsokat.
Támadó, aki tud írni a Firestore-ba, de nem ismeri a kódot	Enyhült	A HMAC-ellenőrzés sikertelen; a Companion naplózza az elutasítást, és nem hajtja végre.
Támadó, aki feltörte/adathalászta a párosítási kódot	Maradék	Úgy adhatnak ki parancsokat, mintha ők lennének a felhasználók. Enyhítés: forgassa el a kódot a tálca menüben.
Rögzített parancs visszajátszása	Maradék	A sentAtMillis HMAC-hoz kötött; a Companion még nem kényszerít ki érvényességi ablakot. Egy későbbi javítás hozzáad egy lejárati időt.
LAN módú nem hitelesített támadó	Enyhült	A WebSocket páros kézfogás érvényesíti a kódot; HMAC + AES kapu minden következő parancsot.
Kompromittált telefon lopott párosítási kulccsal	Maradék	Nem lehet megkülönböztetni "magától a felhasználótól". Enyhítés: sebességkorlát (10 cmd/perc) + a destruktív parancs megerősítéséhez PC-oldali kattintás szükséges.
Elhibázott parancs a telefonos alkalmazásból	Enyhült	A telefonoldali engedélyezőlista blokkolja az ismeretlen előtagokat; a Companion oldali előellenőrzés blokkolja a nem létező szolgáltatásokra irányuló parancsokat.
A pusztító parancs véletlenül fut le	Enyhült	A Companion oldalán megjelenő ablak felhasználói kattintást kér a Remove-Item, Format-Volume, reg delete, shutdown /r stb. jóváhagyásához.
Lefagyott / elszabadult PowerShell-folyamat	Enyhült	Minden parancs időkorlátos — alapból 5 perc, hosszan futó javításnál 45, a kemény felső határon 60 — és a teljes folyamatfa leáll.
Companion .exe beavatkozás a letöltés és a futtatás között	Enyhült	Az SHA-256 a(z) companion-version.json fájlban jelenik meg; a felhasználók ellenőrizhetik. Az Authenticode-aláírás az indulás előttre van tervezve.
Companion összeomlási szivárgásérzékeny állapot	Enyhült	Összeomlási jelentések + Firestore hibavisszaírások fertőtlenítése %USERPROFILE% / %MACHINE% / %USER%.
Ellopott eszköz, megmaradt rendszerleíró adatbázis-párosítási kulcs	Enyhült	A megmaradt párosítási kód Windows DPAPI-val (fiókonként) titkosítva van, így nem olvasható ki másolt lemezről vagy egy másik Windows-fiókról.

A hatókörön kívül

Amik ellen a WindowsHelper kifejezetten nem véd:

• Feltört Windows-fiók futtatva a társat. Feltételezzük, hogy a felhasználó számítógépe az övé. Már nyert egy támadó, akinek rendszergazdája van a felhasználó számítógépén.
• Kompromittált telefonos alkalmazás bináris fájlja. Nem írunk alá olyan Android/iOS építményeket, amelyek a platform alkalmazásboltján kívüli manipulációt megakadályozzák.
• Állami szintű ellenfelek, akiknek megvannak az eszközeik a Google Firestore vagy a HTTPS mögötti hitelesítésszolgáltatók feltörésére. Ez a termék a hétköznapi felhasználói szintű fenyegetésekre készült — kezdő hackerekre, alkalmi kíváncsiskodókra, elégedetlen háztartástagokra —, nem kormányokra.
• Oldalcsatornás támadások az AES-GCM ellen fogyasztás- vagy EM-analízissel. A Companion nem intelligens kártya.

Közzététel

• E-mail support@windowshelper.app témával [security].
• Kérjük, adja meg a verziószámokat, a repro lépéseit, a hatást és az ideális javítást.
• Arra törekszünk, hogy 48 órán belül válaszoljunk, és egy héten belül felmérjük a súlyosságot. A súlyos problémák a szokásos cikluson kívüli kiadást kapnak.
• Nyilvánosságra hozatali időszak: 90 nap az első jelentéstől számítva, vagy közös megegyezéssel korábban.
• Jelenleg nincs fizetett hibajavítás – jóváírjuk a riportereket a kiadási megjegyzésekben (engedéllyel).