Безбедносен модел

Како WindowsHelper го штити вашиот компјутер + вашиот телефон, каква криптографија користиме и од што експлицитно не се браниме. Последно ажурирање: 2026-04-25.

Животен циклус на код за спарување

Кодот за спарување е споделена тајна секоја друга крипто операција произлегува од. Целосниот животен циклус:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Случајно: кодови генерирани преку криптографски безбедни RNG.
• Азбука од 32 знаци × 8 позиции ≈ 1,1 трилиони комбинации. Исклучува I/O/0/1 за да се избегне визуелна двосмисленост, а не безбедносно значење - кодниот простор е доволно густ што 5-минутниот прозорец со брутална сила со ограничувања на стапката на Firestore е неизводлив.
• Никогаш не е напишано на Firestor од ниту една страна. Само документот за сесијата ЧЕКАЊЕ носи pairingCode; откако ќе се спари, кодот останува исклучиво во меморијата.
• Бришење во меморијата при исклучување, повторно спарување или затворање на апликацијата.

Криптографија

AES-256-GCM (доверливост на командата + интегритет)

Секоја команда испратена преку жицата е шифрирана со AES-256-GCM, режим за автентицирана шифрирање.

• Клуч: 256 бита, изведени како SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Не: 96 бита (12 бајти), генерирани свежо по порака преку Random.secure() на телефон или RandomNumberGenerator на придружник.
• Ознака за проверка: 128 бита (16 бајти), додадени на шифрениот текст.
• Формат на жица: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безбедност при неупотреба: 96-битни нонси од CSPRNG даваат веројатност за судир со роденденски парадокс од ~2-3² по 248 пораки - астрономски недостапни за која било веродостојна јачина на команди.

HMAC-SHA256 (автентичност на наредбата)

Секоја команда исто така носи потпис HMAC, така што телефонот што не го знае кодот за спарување не може да вбризгува команди дури и ако може да пишува на Firestore.

• Клуч: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одделете од клучот за шифрирање.
• Опсег на терен: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цевките се буквални знаци на цевки, а не разграничувачи - три споени жици.
• Нарачка за верификација: Потврден HMAC пред дешифрирање. Фалсификуваните пораки трошат нула процесорски циклуси на криптографски примитиви.

Модел на закана

Закана	Статус	Белешки
Прислушувач на локалната мрежа	Ублажено	Шифрениот текст AES-GCM е непроѕирен за набљудувачите на MITM.
Прислушувач на серверите на Firestore	Ублажено	Google sees AESGCM:... blobs, not commands.
Напаѓач кој може да пишува на Firestore, но не го знае кодот	Ублажено	HMAC верификацијата не успее; придружник го евидентира одбивањето + одбива извршување.
Напаѓач кој го проби/фишил кодот за спарување	Остаток	Тие можат да издаваат команди како да се корисникот. Ублажување: ротирајте го кодот од менито на фиоката.
Повторување на снимена команда	Остаток	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Неавтентициран напаѓач во LAN режим	Ублажено	Ракувањето со пар на WebSocket го потврдува кодот; HMAC + AES ја чува секоја следна команда.
Компромитиран телефон со украден клуч за спарување	Остаток	Не се разликува од „самиот корисник“. Ублажување: ограничување на брзината (10 cmd/min) + потврда за деструктивна команда бара кликнување од страна на компјутерот.
Погрешно напишана команда од апликацијата за телефон	Ублажено	Списокот на дозволи од страна на телефонот блокира непрепознатливи префикси; Командите пред летот од страна на придружникот се насочени кон непостоечки услуги.
Деструктивната команда работи случајно	Ублажено	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Обесени / бегство процес PowerShell	Ублажено	Тешкиот 5-минутен тајмаут го убива целото процесно дрво.
Companion .exe мешање помеѓу преземањето и извршувањето	Ублажено	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion чувствителна состојба на протекување пад	Ублажено	Извештаите за падови + отписите за грешки во Firestore се дезинфицираат %USERPROFILE% / %MACHINE% / %USER%.
Украден уред, постојан клуч за спарување на регистарот	Остаток	Напаѓачот со пристап на диск + најава може да го прочита постојаниот код. Идната поправка го обвива со Windows DPAPI.

Надвор од опсегот

Работите што WindowsHelper ги прави експлицитно не брани од:

• Компромитирана сметка на Windows водење на придружник. Претпоставуваме дека компјутерот на корисникот е негов. Напаѓачот со администратор на компјутерот на корисникот веќе победи.
• Компромитирана бинарна апликација за телефон. Ние не потпишуваме изданија на Android/iOS против манипулации надвор од она што го обезбедува продавницата за апликации на платформата.
• Противници на државно ниво со ресурси за да се преврти Firestore на Google или PKI на DigiCert. Овој производ е насочен кон заканите од потрошувачите - дечиња со скрипти, случајни кодоши, незадоволни членови на домаќинството - не владите.
• Напади од страничен канал на AES-GCM преку анализа на моќ / ЕМ. Придружникот не е паметна картичка.

Откривање

• Е-пошта support@windowshelper.app со предмет [security].
• Вклучете броеви на верзии, репро чекори, влијание и идеална поправка.
• Првиот одговор во рок од 48 часа. Тријагирана сериозност во рок од една недела. Проблемите со висока сериозност добиваат ослободување надвор од циклусот.
• Прозорец за обелоденување: 90 дена од првичниот извештај, или порано со заеднички договор.
• Во моментов нема платена награда за грешки - им даваме кредит на новинарите во белешките за објавување (со дозвола).