Model Keamanan

Bagaimana WindowsHelper melindungi PC + ponsel Anda, kriptografi apa yang kami gunakan, dan apa yang secara eksplisit tidak kami pertahankan. Terakhir diperbarui: 25-04-2026.

Siklus hidup kode penyandingan

Kode pasangannya adalah rahasia bersama setiap operasi kripto lainnya berasal. Siklus hidup penuh:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Acak: kode yang dihasilkan melalui RNG yang aman secara kriptografis.
• Alfabet 32 ​​karakter × 8 posisi ≈ 1,1 triliun kombinasi. Tidak termasuk I/O/0/1 untuk menghindari ambiguitas visual, bukan signifikansi keamanan — ruang kode cukup padat sehingga jendela brute force 5 menit dengan batas kecepatan Firestore tidak dapat dilakukan.
• Tidak pernah menulis ke Firestore di kedua sisi. Hanya dokumen sesi WAITING yang dibawa pairingCode; setelah dipasangkan, kode tersebut tetap berada di memori secara eksklusif.
• Penghapusan dalam memori saat memutuskan sambungan, memasangkan ulang, atau menutup aplikasi.

Kriptografi

AES-256-GCM (kerahasiaan perintah + integritas)

Setiap perintah yang dikirim melalui kabel dienkripsi dengan AES-256-GCM, mode enkripsi terotentikasi.

• Kunci: 256 bit, diturunkan sebagai SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Tidak: 96 bit (12 byte), dihasilkan baru per pesan melalui Random.secure() di telepon atau RandomNumberGenerator pada pendamping.
• Tag autentikasi: 128 bit (16 byte), ditambahkan ke ciphertext.
• Format kawat: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Keamanan tanpa penggunaan kembali: Nonce 96-bit dari CSPRNG memberikan kemungkinan tabrakan paradoks ulang tahun ~2⁻³² setelah 2⁴⁸ pesan — secara astronomis di luar jangkauan volume perintah apa pun yang masuk akal.

HMAC-SHA256 (keaslian perintah)

Setiap perintah juga membawa tanda tangan HMAC sehingga telepon yang tidak mengetahui kode penyandingan tidak dapat memasukkan perintah meskipun dapat menulis ke Firestore.

• Kunci: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Pisahkan dari kunci enkripsi.
• Ruang lingkup lapangan: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Pipa-pipa tersebut adalah karakter pipa literal, bukan pembatas — tiga string yang digabungkan.
• Urutan verifikasi: HMAC terverifikasi sebelumnya dekripsi. Pesan palsu tidak membuang-buang siklus CPU pada kriptografi primitif.

Model ancaman

Ancaman	Status	Catatan
Penyadap di jaringan lokal	Dimitigasi	Teks sandi AES-GCM tidak tembus cahaya bagi pengamat MITM.
Menguping di server Firestore	Dimitigasi	Google sees AESGCM:... blobs, not commands.
Penyerang yang dapat menulis ke Firestore namun tidak mengetahui kodenya	Dimitigasi	Verifikasi HMAC gagal; pendamping mencatat penolakan + menolak eksekusi.
Penyerang yang memecahkan/memphis kode penyandingan	Sisa	Mereka dapat mengeluarkan perintah seolah-olah mereka adalah penggunanya. Mitigasi: memutar kode dari menu baki.
Memutar ulang perintah yang direkam	Sisa	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Penyerang tidak diautentikasi dalam mode LAN	Dimitigasi	Jabat tangan pasangan WebSocket memvalidasi kode; Gerbang HMAC + AES setiap perintah berikutnya.
Ponsel yang disusupi dengan kunci penyandingan yang dicuri	Sisa	Tidak dapat dibedakan dari "pengguna itu sendiri". Mitigasi: batas kecepatan (10 cmd/mnt) + konfirmasi perintah destruktif memerlukan klik di sisi PC.
Perintah salah ketik dari aplikasi telepon	Dimitigasi	Daftar yang diizinkan di sisi telepon memblokir awalan yang tidak dikenal; perintah blok pra-penerbangan sisi pendamping yang menargetkan layanan yang tidak ada.
Perintah destruktif dijalankan secara tidak sengaja	Dimitigasi	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Proses PowerShell macet/tidak berjalan	Dimitigasi	Batas waktu 5 menit yang sulit mematikan seluruh pohon proses.
Companion .exe mengganggu antara pengunduhan dan pengoperasian	Dimitigasi	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion kondisi sensitif kebocoran bocor	Dimitigasi	Laporan kerusakan + penulisan balik kesalahan Firestore dibersihkan %USERPROFILE% / %MACHINE% / %USER%.
Perangkat dicuri, kunci pemasangan Registry tetap ada	Sisa	Penyerang dengan akses disk + login dapat membaca kode yang ada. Perbaikan di masa mendatang membungkusnya dengan Windows DPAPI.

Di luar jangkauan

Hal-hal yang dilakukan WindowsHelper secara eksplisit tidak bertahan melawan:

• Akun Windows disusupi menjalankan pendampingnya. Kami berasumsi PC pengguna adalah miliknya. Penyerang dengan admin di PC pengguna telah menang.
• Biner aplikasi telepon yang disusupi. Kami tidak menyetujui build Android/iOS yang dirancang untuk mencegah gangguan di luar apa yang disediakan oleh toko aplikasi platform.
• Musuh tingkat negara bagian dengan sumber daya untuk menumbangkan Firestore Google atau PKI DigiCert. Produk ini menargetkan ancaman tingkat konsumen – anak-anak nakal, pengintai biasa, anggota rumah tangga yang tidak puas – bukan pemerintah.
• Serangan saluran samping pada AES-GCM melalui analisis daya / EM. Pendampingnya bukan kartu pintar.

Pengungkapan

• Surel support@windowshelper.app dengan subjek [security].
• Harap sertakan nomor versi, langkah repro, dampak, dan perbaikan ideal.
• Respon pertama dalam waktu 48 jam. Tingkat keparahan diprioritaskan dalam satu minggu. Masalah dengan tingkat keparahan tinggi terjadi di luar siklusnya.
• Jangka waktu pengungkapan: 90 hari sejak laporan awal, atau lebih awal berdasarkan kesepakatan bersama.
• Saat ini tidak ada hadiah bug berbayar — kami memberi kredit kepada reporter dalam catatan rilis (dengan izin).