Drošības modelis

Kā WindowsHelper aizsargā jūsu datoru un tālruni, kādu kriptogrāfiju mēs izmantojam un pret ko mēs nepārprotami neaizsargājam. Pēdējo reizi atjaunināts: 2026-04-25.

Savienošanas pārī koda dzīves cikls

Savienošanas pārī kods ir kopīgs noslēpums visas pārējās kriptogrāfijas operācijas izriet no. Pilns dzīves cikls:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Nejauši: kodi, kas ģenerēti, izmantojot kriptogrāfiski drošus RNG.
• 32 zīmju alfabēts × 8 pozīcijas ≈ 1,1 triljons kombināciju. Neietver I/O/0/1, lai izvairītos no vizuālas neskaidrības, nevis drošības nozīmes — koda telpa ir pietiekami blīva, tāpēc 5 minūšu brutāla spēka logs ar Firestore ātruma ierobežojumiem nav iespējams.
• Nekad neviena no pusēm nav rakstījusi Firestore. Pārnēsā tikai WAITING session doc pairingCode; pēc savienošanas pārī kods paliek tikai atmiņā.
• Noslaucīt atmiņā atvienojot, atkārtoti savienojot pārī vai aizverot lietotni.

Kriptogrāfija

AES-256-GCM (komandu konfidencialitāte + integritāte)

Katra komanda, kas nosūtīta pa vadu, tiek šifrēta ar AES-256-GCM — autentificētas šifrēšanas režīmu.

• Taustiņš: 256 biti, atvasināti kā SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 biti (12 baiti), kas ģenerēti svaigi vienam ziņojumam, izmantojot Random.secure() pa tālruni vai RandomNumberGenerator uz pavadoni.
• Auth tag: 128 biti (16 baiti), pievienoti šifrētam tekstam.
• Vada formāts: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Neatkārtotas lietošanas drošība: 96 bitu notikumi no CSPRNG nodrošina dzimšanas dienas paradoksālas sadursmes varbūtību ~2⁻³² pēc 2⁴⁸ ziņojumiem — astronomiski nav sasniedzams jebkuram ticamam komandu skaļumam.

HMAC-SHA256 (komandu autentiskums)

Katrai komandai ir arī HMAC paraksts, tāpēc tālrunis, kas nezina savienojuma kodu, nevar ievadīt komandas pat tad, ja tas var rakstīt pakalpojumā Firestore.

• Taustiņš: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Atsevišķi no šifrēšanas atslēgas.
• Lauka darbības joma: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Caurules ir burtiski caurules rakstzīmes, nevis atdalītāji — trīs savienotas virknes.
• Pārbaudes pasūtījums: HMAC pārbaudīts pirms tam atšifrēšana. Viltotie ziņojumi netērē nulles CPU ciklu uz kriptogrāfijas primitīviem.

Draudi modelis

Draudi	Statuss	Piezīmes
Noklausītājs vietējā tīklā	Mīkstināts	AES-GCM šifrētais teksts ir necaurredzams MITM novērotājiem.
Firestore serveru noklausītājs	Mīkstināts	Google sees AESGCM:... blobs, not commands.
Uzbrucējs, kurš var rakstīt Firestore, bet nezina kodu	Mīkstināts	HMAC pārbaude neizdodas; pavadonis reģistrē noraidījumu + atsakās izpildīt.
Uzbrucējs, kurš uzlauza/pikšķerēja kodu savienošanai pārī	Atlikums	Viņi var izdot komandas tā, it kā viņi būtu lietotāji. Mazināšana: pagrieziet kodu no teknes izvēlnes.
Ierakstītas komandas atkārtošana	Atlikums	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN režīmā neautentificēts uzbrucējs	Mīkstināts	WebSocket pāra rokasspiediens apstiprina kodu; HMAC + AES vārti katra nākamā komanda.
Uzlauzts tālrunis ar nozagtu savienošanas pārī atslēgu	Atlikums	Nevar atšķirt no "paša lietotāja". Mazināšana: ātruma ierobežojums (10 cmd/min) + destruktīvas komandas apstiprināšanai nepieciešams klikšķis datora pusē.
Nepareizi ievadīta komanda no tālruņa lietotnes	Mīkstināts	Tālruņa puses atļaušanas saraksts bloķē neatpazītus prefiksus; kompanjona puses pirmslidojuma bloķē komandas, kuru mērķauditorija ir neesošie pakalpojumi.
Destruktīva komanda palaista nejauši	Mīkstināts	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Pakarināts/aizbēgts PowerShell process	Mīkstināts	Stingrs 5 minūšu taimauts nogalina visu procesa koku.
Companion .exe maina lejupielādi un palaišanu	Mīkstināts	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion avārijas noplūdes jutīgs stāvoklis	Mīkstināts	Avāriju ziņojumi + Firestore kļūdu atpakaļrakstīšanas dezinficēšana %USERPROFILE% / %MACHINE% / %USER%.
Nozagta ierīce, saglabājusies reģistra savienošanas pārī atslēga	Atlikums	Uzbrucējs ar diska un pieteikšanās piekļuvi varētu nolasīt pastāvīgo kodu. Nākotnes labojums ietvers to ar Windows DPAPI.

Ārpus darbības jomas

Lietas, ko skaidri dara WindowsHelper nē aizstāvēt pret:

• Uzlauzts Windows konts palaist pavadoni. Mēs pieņemam, ka lietotāja dators pieder viņam. Uzbrucējs ar administratoru lietotāja datorā jau ir uzvarējis.
• Kompromitēta tālruņa lietotnes binārā versija. Mēs neparakstām Android/iOS versijas pret manipulācijām, kas pārsniedz platformas lietotņu veikala piedāvātās iespējas.
• Valsts līmeņa pretinieki ar resursiem, lai sagrautu Google Firestore vai DigiCert PKI. Šis produkts ir vērsts uz patērētāju apdraudējumiem — skriptu bērniem, nejaušiem snooperiem, neapmierinātiem mājsaimniecības locekļiem, nevis valdībām.
• Sānu kanālu uzbrukumi uz AES-GCM, izmantojot jaudas / EM analīzi. Pavadonis nav viedkarte.

Izpaušana

• E-pasts support@windowshelper.app ar tēmu [security].
• Lūdzu, iekļaujiet versiju numurus, repro darbības, ietekmi un ideālo labojumu.
• Pirmā atbilde 48 stundu laikā. Izvērtēts smaguma pakāpe vienas nedēļas laikā. Smagas problēmas tiek atbrīvotas ārpus cikla.
• Informācijas atklāšanas periods: 90 dienas no sākotnējā ziņojuma vai agrāk pēc savstarpējas vienošanās.
• Pašlaik nav jāmaksā par kļūdu — mēs kreditējam reportierus izlaiduma piezīmēs (ar atļauju).