Model Keamanan

Carane WindowsHelper nglindhungi PC + telpon, kriptografi apa sing digunakake, lan apa sing ora kita bela kanthi jelas. Dianyari pungkasan: 2026-04-25.

Siklus urip kode pasangan

Kode pasangan yaiku rahasia bareng saben operasi crypto liyane asalé saka. Siklus urip lengkap:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Acak: kode kui liwat RNGs aman cryptographically.
• Alfabet 32 ​​aksara × 8 posisi ≈ 1,1 triliun kombinasi. Ora kalebu I / O / 0/1 kanggo ngindhari ambiguitas visual, dudu pentinge keamanan - ruang kode cukup padhet nganti jendhela brute-force 5 menit kanthi watesan tarif Firestore ora bisa ditindakake.
• Tau ditulis kanggo Firestore dening salah siji sisih. Mung doc sesi NUNGGU nggawa pairingCode; sawise dipasangake, kode tetep ing memori istimewa.
• Ngilangke ing memori ing pedhot sambungan, pasangan maneh, utawa app nutup.

Kriptografi

AES-256-GCM (rahasia printah + integritas)

Saben printah sing dikirim liwat kabel dienkripsi nganggo AES-256-GCM, mode enkripsi sing diotentikasi.

• Kunci: 256 bit, asalé minangka SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bit (12 byte), digawe anyar saben pesen liwat Random.secure() ing telpon utawa RandomNumberGenerator ing pendamping.
• Tag wewenang: 128 bit (16 byte), ditambahake menyang ciphertext.
• Format kabel: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Keamanan ora bisa digunakake maneh: 96-bit nonces saka CSPRNG menehi kemungkinan tabrakan paradoks ulang tahun ~2⁻³² sawise 2⁴⁸ pesen — kanthi astronomi ora bisa digayuh kanggo volume perintah sing bisa dipercaya.

HMAC-SHA256 (keasliane printah)

Saben printah uga duwe tandha HMAC supaya telpon sing ora ngerti kode pasangan ora bisa nyuntik printah sanajan bisa nulis menyang Firestore.

• Kunci: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Kapisah saka kunci enkripsi.
• Ruang lingkup lapangan: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Pipa kasebut minangka karakter pipa harfiah, dudu pembatas - telung senar sing disambungake.
• Urutan verifikasi: HMAC diverifikasi sadurunge dekripsi. Pesen palsu mbuang siklus CPU nol ing primitif kriptografi.

Model ancaman

Ancaman	Status	Cathetan
Eavesdropper ing jaringan lokal	Wis dikurangi	Ciphertext AES-GCM ora jelas kanggo pengamat MITM.
Eavesdropper ing server Firestore	Wis dikurangi	Google sees AESGCM:... blobs, not commands.
Penyerang sing bisa nulis menyang Firestore nanging ora ngerti kode kasebut	Wis dikurangi	verifikasi HMAC gagal; kanca log penolakan + nolak eksekusi.
Attacker sing crack / phished kode pasangan	Sisa	Dheweke bisa ngetokake perintah kaya-kaya pangguna. Mitigasi: muter kode saka menu tray.
Muter maneh printah sing direkam	Sisa	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-mode penyerang ora dikonfirmasi	Wis dikurangi	WebSocket pasangan jabat tangan validates kode; HMAC + AES gapura saben printah sakteruse.
Telpon kompromi karo kunci pasangan sing dicolong	Sisa	Ora bisa dibedakake saka "pangguna dhewe." Mitigasi: watesan tarif (10 cmd / min) + konfirmasi printah ngrusak mbutuhake klik sisih PC.
Salah ngetik printah saka app telpon	Wis dikurangi	Dhaptar ijin sisih telpon mblokir prefiks sing ora dingerteni; pamblokiran pamblokiran pra-penerbangan sisih kanca ngarahake layanan sing ora ana.
printah destruktif mbukak sengaja	Wis dikurangi	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Proses PowerShell Hung / runaway	Wis dikurangi	Hard wektu entek 5 menit mateni kabeh wit proses.
Companion .exe tampering antarane download lan mbukak	Wis dikurangi	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion kacilakan bocor status sensitif	Wis dikurangi	Laporan kacilakan + Tulis maneh kesalahan Firestore diresiki %USERPROFILE% / %MACHINE% / %USER%.
Piranti sing dicolong, kunci pasangan Registry tetep	Wis dikurangi	Kode pasangan sing tetep dienkripsi nganggo Windows DPAPI (saben akun), dadi ora bisa diwaca saka disk sing disalin utawa akun Windows liyane.

Metu saka ruang lingkup

Prakara WindowsHelper kanthi eksplisit ditindakake ora mbela marang:

• Akun Windows dikompromi mlaku rencang. Kita nganggep PC pangguna iku duweke. Penyerang karo admin ing PC pangguna wis menang.
• Binar aplikasi telpon sing dikompromi. Kita ora mlebu Android/iOS kanggo nglawan gangguan ngluwihi apa sing diwenehake dening toko aplikasi platform.
• mungsuh tingkat negara kanthi sumber daya kanggo ngrusak Firestore Google utawa PKI DigiCert. Produk iki nargetake ancaman kelas konsumen - bocah-bocah skrip, snooper kasual, anggota kluwarga sing ora marem - dudu pamrentah.
• Serangan saluran sisih ing AES-GCM liwat analisis daya / EM. Kancane dudu kertu pinter.

pambocoran

• Email support@windowshelper.app karo subyek [security].
• Mangga kalebu nomer versi, langkah repro, impact, lan fix becik.
• Tanggapan pisanan sajrone 48 jam. Triaged keruwetan ing siji minggu. Masalah keruwetan dhuwur entuk rilis metu saka siklus.
• Jendhela pambocoran: 90 dina saka laporan awal, utawa luwih awal kanthi persetujuan bebarengan.
• Ora ana hadiah bug sing dibayar saiki - kita menehi kredit wartawan ing cathetan rilis (kanthi ijin).