Model Keamanan

Carane WindowsHelper nglindhungi PC + telpon, kriptografi apa sing digunakake, lan apa sing ora kita bela kanthi jelas. Dianyari pungkasan: 2026-04-25.

Siklus urip kode pasangan

Kode pasangan yaiku rahasia bareng saben operasi crypto liyane asalé saka. Siklus urip lengkap:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Acak: kode kui liwat RNGs aman cryptographically.
• Alfabet 32 ​​aksara × 8 posisi ≈ 1,1 triliun kombinasi. Ora kalebu I / O / 0/1 kanggo ngindhari ambiguitas visual, dudu pentinge keamanan - ruang kode cukup padhet nganti jendhela brute-force 5 menit kanthi watesan tarif Firestore ora bisa ditindakake.
• Tau ditulis kanggo Firestore dening salah siji sisih. Mung doc sesi NUNGGU nggawa pairingCode; sawise dipasangake, kode tetep ing memori istimewa.
• Ngilangke ing memori ing pedhot sambungan, pasangan maneh, utawa app nutup.

Kriptografi

AES-256-GCM (rahasia printah + integritas)

Saben printah sing dikirim liwat kabel dienkripsi nganggo AES-256-GCM, mode enkripsi sing diotentikasi.

• Kunci: 256 bit, asalé minangka SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bit (12 byte), digawe anyar saben pesen liwat Random.secure() ing telpon utawa RandomNumberGenerator ing pendamping.
• Tag wewenang: 128 bit (16 byte), ditambahake menyang ciphertext.
• Format kabel: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Keamanan ora bisa digunakake maneh: 96-bit nonces saka CSPRNG menehi kemungkinan tabrakan paradoks ulang tahun ~2⁻³² sawise 2⁴⁸ pesen — kanthi astronomi ora bisa digayuh kanggo volume perintah sing bisa dipercaya.

HMAC-SHA256 (keasliane printah)

Saben printah uga duwe tandha HMAC supaya telpon sing ora ngerti kode pasangan ora bisa nyuntik printah sanajan bisa nulis menyang Firestore.

• Kunci: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Kapisah saka kunci enkripsi.
• Ruang lingkup lapangan: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Pipa kasebut minangka karakter pipa harfiah, dudu pembatas - telung senar sing disambungake.
• Urutan verifikasi: HMAC diverifikasi sadurunge dekripsi. Pesen palsu mbuang siklus CPU nol ing primitif kriptografi.

Model ancaman

Ancaman	Status	Cathetan
Eavesdropper ing jaringan lokal	Mitigated	Ciphertext AES-GCM ora jelas kanggo pengamat MITM.
Eavesdropper ing server Firestore	Mitigated	Google sees AESGCM:... blobs, not commands.
Penyerang sing bisa nulis menyang Firestore nanging ora ngerti kode kasebut	Mitigated	verifikasi HMAC gagal; kanca log penolakan + nolak eksekusi.
Attacker sing crack / phished kode pasangan	Sisa	Dheweke bisa ngetokake perintah kaya-kaya pangguna. Mitigasi: muter kode saka menu tray.
Muter maneh printah sing direkam	Sisa	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-mode penyerang ora dikonfirmasi	Mitigated	WebSocket pasangan jabat tangan validates kode; HMAC + AES gapura saben printah sakteruse.
Telpon kompromi karo kunci pasangan sing dicolong	Sisa	Ora bisa dibedakake saka "pangguna dhewe." Mitigasi: watesan tarif (10 cmd / min) + konfirmasi printah ngrusak mbutuhake klik sisih PC.
Salah ngetik printah saka app telpon	Mitigated	Dhaptar ijin sisih telpon mblokir prefiks sing ora dingerteni; pamblokiran pamblokiran pra-penerbangan sisih kanca ngarahake layanan sing ora ana.
printah destruktif mbukak sengaja	Mitigated	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Proses PowerShell Hung / runaway	Mitigated	Hard wektu entek 5 menit mateni kabeh wit proses.
Companion .exe tampering antarane download lan mbukak	Mitigated	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion kacilakan bocor status sensitif	Mitigated	Laporan kacilakan + Tulis maneh kesalahan Firestore diresiki %USERPROFILE% / %MACHINE% / %USER%.
Piranti sing dicolong, kunci pasangan Registry tetep	Sisa	Penyerang kanthi akses disk + login bisa maca kode sing tetep. Ndandani mbesuk mbungkus nganggo Windows DPAPI.

Metu saka ruang lingkup

Prakara WindowsHelper kanthi eksplisit ditindakake ora mbela marang:

• Akun Windows dikompromi mlaku rencang. Kita nganggep PC pangguna iku duweke. Penyerang karo admin ing PC pangguna wis menang.
• Binar aplikasi telpon sing dikompromi. Kita ora mlebu Android/iOS kanggo nglawan gangguan ngluwihi apa sing diwenehake dening toko aplikasi platform.
• mungsuh tingkat negara kanthi sumber daya kanggo ngrusak Firestore Google utawa PKI DigiCert. Produk iki nargetake ancaman kelas konsumen - bocah-bocah skrip, snooper kasual, anggota kluwarga sing ora marem - dudu pamrentah.
• Serangan saluran sisih ing AES-GCM liwat analisis daya / EM. Kancane dudu kertu pinter.

pambocoran

• Email support@windowshelper.app karo subyek [security].
• Mangga kalebu nomer versi, langkah repro, impact, lan fix becik.
• Tanggapan pisanan sajrone 48 jam. Triaged keruwetan ing siji minggu. Masalah keruwetan dhuwur entuk rilis metu saka siklus.
• Jendhela pambocoran: 90 dina saka laporan awal, utawa luwih awal kanthi persetujuan bebarengan.
• Ora ana hadiah bug sing dibayar saiki - kita menehi kredit wartawan ing cathetan rilis (kanthi ijin).