Безбедносен модел

Како WindowsHelper го штити вашиот компјутер + вашиот телефон, каква криптографија користиме и од што експлицитно не се браниме. Последно ажурирање: 2026-04-25.

Животен циклус на код за спарување

Кодот за спарување е споделена тајна секоја друга крипто операција произлегува од. Целосниот животен циклус:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Случајно: кодови генерирани преку криптографски безбедни RNG.
• Азбука од 32 знаци × 8 позиции ≈ 1,1 трилиони комбинации. Исклучува I/O/0/1 за да се избегне визуелна двосмисленост, а не безбедносно значење - кодниот простор е доволно густ што 5-минутниот прозорец со брутална сила со ограничувања на стапката на Firestore е неизводлив.
• Никогаш не е напишано на Firestore од ниту една страна. Само документот за сесијата ЧЕКАЊЕ носи pairingCode; откако ќе се спари, кодот останува исклучиво во меморијата.
• Бришење во меморијата при исклучување, повторно спарување или затворање на апликацијата.

Криптографија

AES-256-GCM (доверливост на командата + интегритет)

Секоја команда испратена преку жицата е шифрирана со AES-256-GCM, режим за автентицирана шифрирање.

• Клуч: 256 бита, изведени како SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 бита (12 бајти), генерирани свежо по порака преку Random.secure() на телефон или RandomNumberGenerator на придружник.
• Ознака за проверка: 128 бита (16 бајти), додадени на шифрениот текст.
• Формат на жица: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безбедност при неупотреба: 96-битни nonces од CSPRNG даваат веројатност за судир со роденденски парадокс од ~2-3² по 248 пораки - астрономски недостапни за која било веродостојна јачина на команди.

HMAC-SHA256 (автентичност на наредбата)

Секоја команда исто така носи потпис HMAC, така што телефонот што не го знае кодот за спарување не може да вбризгува команди дури и ако може да пишува на Firestore.

• Клуч: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одделете од клучот за шифрирање.
• Опсег на терен: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цевките се буквални знаци на цевки, а не разграничувачи - три споени жици.
• Нарачка за верификација: Потврден HMAC пред дешифрирање. Фалсификуваните пораки трошат нула процесорски циклуси на криптографски примитиви.

Модел на закана

Закана	Статус	Белешки
Прислушувач на локалната мрежа	Ублажено	Шифрениот текст AES-GCM е непроѕирен за набљудувачите на MITM.
Прислушувач на серверите на Firestore	Ублажено	Google sees AESGCM:... blobs, not commands.
Напаѓач кој може да пишува на Firestore, но не го знае кодот	Ублажено	HMAC верификацијата не успее; придружник го евидентира одбивањето + одбива извршување.
Напаѓач кој го проби/фишил кодот за спарување	Остаток	Тие можат да издаваат команди како да се корисникот. Ублажување: ротирајте го кодот од менито на фиоката.
Повторување на снимена команда	Остаток	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Неавтентициран напаѓач во LAN режим	Ублажено	Ракувањето со пар на WebSocket го потврдува кодот; HMAC + AES ја чува секоја следна команда.
Компромитиран телефон со украден клуч за спарување	Остаток	Не се разликува од „самиот корисник“. Ублажување: ограничување на брзината (10 cmd/min) + потврда за деструктивна команда бара кликнување од страна на компјутерот.
Погрешно напишана команда од апликацијата за телефон	Ублажено	Списокот на дозволи од страна на телефонот блокира непрепознатливи префикси; Командите пред летот од страна на придружникот се насочени кон непостоечки услуги.
Деструктивната команда работи случајно	Ублажено	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Обесени / бегство процес PowerShell	Ублажено	Тешкиот 5-минутен тајмаут го убива целото процесно дрво.
Companion .exe мешање помеѓу преземањето и извршувањето	Ублажено	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion чувствителна состојба на протекување пад	Ублажено	Извештаите за падови + отписите за грешки во Firestore се дезинфицираат %USERPROFILE% / %MACHINE% / %USER%.
Украден уред, постојан клуч за спарување на регистарот	Ублажено	Постојаниот код за спарување е шифриран со Windows DPAPI (по сметка), така што не може да се чита од копиран диск или друга сметка на Windows.

Надвор од опсегот

Работите што WindowsHelper ги прави експлицитно не брани од:

• Компромитирана сметка на Windows водење на придружник. Претпоставуваме дека компјутерот на корисникот е негов. Напаѓачот со администратор на компјутерот на корисникот веќе победи.
• Компромитирана бинарна апликација за телефон. Ние не потпишуваме изданија на Android/iOS против манипулации надвор од она што го обезбедува продавницата за апликации на платформата.
• Противници на државно ниво со ресурси за да се преврти Firestore на Google или PKI на DigiCert. Овој производ е насочен кон заканите од потрошувачите - дечиња со скрипти, случајни кодоши, незадоволни членови на домаќинството - не владите.
• Напади од страничен канал на AES-GCM преку анализа на моќ / ЕМ. Придружникот не е паметна картичка.

Откривање

• Е-пошта support@windowshelper.app со предмет [security].
• Вклучете броеви на верзии, репро чекори, влијание и идеална поправка.
• Првиот одговор во рок од 48 часа. Тријагирана сериозност во рок од една недела. Проблемите со висока сериозност добиваат ослободување надвор од циклусот.
• Прозорец за обелоденување: 90 дена од првичниот извештај, или порано со заеднички договор.
• Во моментов нема платена награда за грешки - им даваме кредит на новинарите во белешките за објавување (со дозвола).