Apsaugos modelis

Kaip WindowsHelper apsaugo jūsų kompiuterį ir telefoną, kokią kriptografiją naudojame ir nuo ko aiškiai nesisaugome. Paskutinį kartą atnaujinta: 2026-04-25.

Susiejimo kodo gyvavimo ciklas

Poravimo kodas yra bendra paslaptis, iš kurios kyla visos kitos kriptografinės operacijos. Visas gyvavimo ciklas:

[ Telefonas SUKURIA atsitiktinį 8 simbolių kodą ]
   ↓
[ Telefonas ĮRAŠO kodą + sessionId į Firestore, į dokumentą pc_connections ]
   ↓
[ Telefonas PARODO kodą naudotojui ekrane ]
   ↓
[ Naudotojas PERSKAITO kodą ir įveda jį į Companion įvesties lauką ]
   ↓
[ Companion IEŠKO Firestore laukiančio seanso, atitinkančio kodą ]
   ↓
[ Abi pusės IŠVEDA šifravimo raktus iš SHA-256(kodas, sessionId) ]
   ↓
[ Kodas LIEKA abiejų pusių atmintyje; nė viena jo neįrašo į Firestore ]
   ↓
[ Atsijungimas / pakartotinis susiejimas IŠTRINA kodą abiejose pusėse ]

• Atsitiktinis: kodai, sukurti naudojant kriptografiškai saugius RNG.
• 30 simbolių abėcėlė × 8 pozicijos ≈ 656 milijardai derinių. Praleidžiami I, L, O, Z, 0 ir 1, kad nekiltų vizualinės painiavos, o ne dėl saugumo — kodų erdvė pakankamai tanki, kad 10 minučių brutalios jėgos langas su „Firestore“ dažnio ribomis būtų neįgyvendinamas.
• Laikomas užšifruotas šiame kompiuteryje. „Companion“ išsaugo kodą jūsų „Windows“ paskyros registre, užšifruotą DPAPI, kad po paleidimo iš naujo galėtų vėl prisijungti.
• Ištrinamas, kai atsijungiate ir išvalote sesiją, pakeičiate kodą arba pašalinate programą. Uždarius programą jis išlieka, kad „Companion“ galėtų vėl prisijungti.

Kriptografija

AES-256-GCM (komandų konfidencialumas + vientisumas)

Kiekviena komanda, siunčiama laidu, yra užšifruota naudojant AES-256-GCM, autentifikuoto šifravimo režimą.

• Raktas: 256 bitai, gaunami kaip SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bitai (12 baitų), sugeneruoti naujai vienam pranešimui per Random.secure() telefonu arba RandomNumberGenerator „Companion“ pusėje.
• Auth žyma: 128 bitai (16 baitų), pridedami prie šifruoto teksto.
• Laido formatas: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Apsauga nuo pakartotinio nonce naudojimo: 96 bitų nonce reikšmės iš CSPRNG išlaiko gimtadienio paradokso susidūrimo tikimybę ties maždaug 2⁻³² per 2³² pranešimų su vienu seanso raktu — tai standartinė atsitiktinių GCM nonce riba ir gerokai daugiau nei bet koks tikėtinas komandų kiekis.

HMAC-SHA256 (komandų autentiškumas)

Kiekviena komanda taip pat turi HMAC parašą, todėl telefonas, kuris nežino susiejimo kodo, negali įvesti komandų, net jei gali rašyti į „Firestore“.

• Raktas: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Atskirai nuo šifravimo rakto.
• Lauko taikymo sritis: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Vamzdžiai yra pažodiniai vamzdžio simboliai, o ne skiriamieji ženklai - trys sujungtos eilutės.
• Tikrinimo eiliškumas: HMAC patikrinamas prieš iššifravimą. Suklastoti pranešimai nesueikvoja nė vieno procesoriaus ciklo kriptografinėms operacijoms.

Grėsmės modelis

Grėsmė	Būsena	Pastabos
Pasiklausytojas vietiniame tinkle	Sušvelnintas	AES-GCM šifruotas tekstas yra nepermatomas MITM stebėtojams.
„Firestore“ serverių pasiklausymas	Sušvelnintas	„Google“ mato AESGCM:... blokus, o ne komandas.
Užpuolikas, galintis rašyti į „Firestore“, bet nežinantis kodo	Sušvelnintas	HMAC patikra nepavyksta; „Companion“ užregistruoja atmetimą ir atsisako vykdyti.
Užpuolikas, nulaužęs / sukčiavęs susiejimo kodą	Likutis	Jie gali duoti komandas taip, lyg būtų vartotojas. Sušvelninimas: pasukite kodą iš dėklo meniu.
Įrašytos komandos pakartojimas	Likutis	sentAtMillis susietas su HMAC; „Companion“ dar netaiko galiojimo lango. Būsimas pataisymas pridės galiojimo pabaigą.
LAN režimu neautentifikuotas užpuolikas	Sušvelnintas	„WebSocket“ poros rankos paspaudimas patvirtina kodą; HMAC + AES vartai kiekvieną paskesnę komandą.
Sugadintas telefonas su pavogtu poravimo raktu	Likutis	Neatsiskiria nuo „pačio vartotojo“. Sušvelninimas: greičio riba (10 cmd/min) + naikinančios komandos patvirtinimas reikalauja kompiuterio paspaudimo.
Neteisingai įvesta komanda iš telefono programos	Sušvelnintas	Telefono pusėje esantis leidžiamųjų sąrašas blokuoja nežinomus priešdėlius; „Companion“ pusėje atliekama išankstinė patikra blokuoja komandas, nukreiptas į neegzistuojančias tarnybas.
Destruktyvi komanda paleista atsitiktinai	Sušvelnintas	„Companion“ pusėje esantis langas reikalauja naudotojo spustelėjimo, kad būtų patvirtinti Remove-Item, Format-Volume, reg delete, shutdown /r ir pan.
Pakabintas / pabėgęs PowerShell procesas	Sušvelnintas	Kiekviena komanda turi laiko ribą — pagal numatytuosius 5 minutės, ilgai trunkančiai pataisai 45, prie kietos lubos 60 — ir nutraukiamas visas procesų medis.
Companion .exe trikdo atsisiuntimą ir paleidimą	Sušvelnintas	SHA-256 skelbiamas faile companion-version.json; naudotojai gali jį patikrinti. „Authenticode“ parašas numatytas prieš paleidimą.
Companion strigčių nutekėjimo jautri būsena	Sušvelnintas	Strigčių ataskaitos + „Firestore“ klaidų grąžinimo išvalymas %USERPROFILE% / %MACHINE% / %USER%.
Pavogtas įrenginys, išlikęs registro susiejimo raktas	Sušvelnintas	Išlikęs susiejimo kodas yra užšifruotas naudojant Windows DPAPI (vienai paskyrai), todėl jo negalima nuskaityti iš nukopijuoto disko ar kitos Windows paskyros.

Nepatenka į taikymo sritį

Dalykai, nuo kurių WindowsHelper aiškiai neapsaugo:

• Pažeista Windows paskyra paleidžiant kompanioną. Manome, kad vartotojo kompiuteris priklauso jo. Užpuolikas su administratoriumi vartotojo kompiuteryje jau laimėjo.
• Pažeista telefono programos dvejetainė programa. Mes nepasirašome „Android“ / „iOS“ versijų, kad būtų išvengta klastojimo, nei siūlo platformos programų parduotuvė.
• Valstybių lygio priešininkai, turintys išteklių įsilaužti į „Google“ Firestore arba sertifikavimo institucijas, kuriomis remiasi HTTPS. Šis produktas skirtas eilinių naudotojų lygio grėsmėms — pradedantiesiems įsilaužėliams, atsitiktiniams smalsuoliams, nepatenkintiems namiškiams — o ne vyriausybėms.
• Šoninio kanalo atakos prieš AES-GCM naudojant galios ar elektromagnetinę analizę. „Companion“ nėra lustinė kortelė.

Atskleidimas

• El. paštas support@windowshelper.app su tema [security].
• Įtraukite versijų numerius, repro veiksmus, poveikį ir idealų pataisymą.
• Stengiamės atsakyti per 48 valandas ir įvertinti rimtumą per savaitę. Rimtoms problemoms išleidžiama versija ne pagal įprastą ciklą.
• Atskleidimo langas: 90 dienų nuo pradinės ataskaitos arba anksčiau abipusiu susitarimu.
• Šiuo metu nėra mokamos dovanos už klaidas – mes kredituojame žurnalistus leidimo pastabose (su leidimu).