Безбедносен модел

Како WindowsHelper го штити вашиот компјутер + вашиот телефон, каква криптографија користиме и од што експлицитно не се браниме. Последно ажурирање: 2026-04-25.

Животен циклус на код за спарување

Кодот за спарување е споделената тајна од која произлегува секоја друга крипто операција. Целосниот животен циклус:

[ Телефонот СОЗДАВА случаен код од 8 знаци ]
   ↓
[ Телефонот ЗАПИШУВА код + sessionId во Firestore, во документот pc_connections ]
   ↓
[ Телефонот ГО ПРИКАЖУВА кодот на корисникот на екранот ]
   ↓
[ Корисникот ГО ЧИТА кодот и го внесува во полето на Companion ]
   ↓
[ Companion БАРА во Firestore сесија на чекање што одговара на кодот ]
   ↓
[ Двете страни ИЗВЕДУВААТ криптографски клучеви од SHA-256(код, sessionId) ]
   ↓
[ Кодот ОСТАНУВА во меморијата на двете страни; ниедна не го запишува во Firestore ]
   ↓
[ Прекинот / повторното спарување ГО БРИШЕ кодот од двете страни ]

• Случајно: кодови генерирани преку криптографски безбедни RNG.
• Азбука од 30 знаци × 8 позиции ≈ 656 милијарди комбинации. Ги исклучува I, L, O, Z, 0 и 1 за да се избегне визуелна забуна, не од безбедносни причини — просторот на кодови е доволно густ за да биде неизводлив десетминутен прозорец за напад со груба сила при ограничувањата на брзина на Firestore.
• Се чува шифриран на овој компјутер. Companion го зачувува кодот во регистарот на вашата сметка на Windows, шифриран со DPAPI, за да може повторно да се поврзе по рестартирање.
• Се брише кога ќе ја прекинете врската и ќе ја исчистите сесијата, ќе го смените кодот или ќе деинсталирате. Затворањето на апликацијата го задржува, за Companion да може повторно да се поврзе.

Криптографија

AES-256-GCM (доверливост на командата + интегритет)

Секоја команда испратена преку жицата е шифрирана со AES-256-GCM, режим за автентицирана шифрирање.

• Клуч: 256 бита, изведени како SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 бита (12 бајти), генерирани свежо по порака преку Random.secure() на телефон или RandomNumberGenerator на страната на Companion.
• Ознака за проверка: 128 бита (16 бајти), додадени на шифрениот текст.
• Формат на жица: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безбедност од повторна употреба на nonce: 96-битните nonce од CSPRNG ја држат веројатноста за судир според парадоксот на родендените на околу 2⁻³² низ 2³² пораки со еден сесиски клуч — тоа е стандардната граница за случајни GCM nonce и далеку над секој веродостоен обем на команди.

HMAC-SHA256 (автентичност на наредбата)

Секоја команда исто така носи потпис HMAC, така што телефонот што не го знае кодот за спарување не може да вбризгува команди дури и ако може да пишува на Firestore.

• Клуч: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одделете од клучот за шифрирање.
• Опсег на терен: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цевките се буквални знаци на цевки, а не разграничувачи - три споени жици.
• Редослед на проверка: HMAC се проверува пред дешифрирањето. Фалсификуваните пораки не трошат ниту еден процесорски циклус на криптографски операции.

Модел на закана

Закана	Статус	Белешки
Прислушувач на локалната мрежа	Ублажено	Шифрениот текст AES-GCM е непроѕирен за набљудувачите на MITM.
Прислушувач на серверите на Firestore	Ублажено	Google гледа блокови AESGCM:..., а не команди.
Напаѓач кој може да пишува на Firestore, но не го знае кодот	Ублажено	Проверката на HMAC не успева; Companion го евидентира одбивањето и одбива извршување.
Напаѓач кој го проби/фишил кодот за спарување	Остаток	Тие можат да издаваат команди како да се корисникот. Ублажување: ротирајте го кодот од менито на фиоката.
Повторување на снимена команда	Остаток	sentAtMillis е врзан за HMAC; Companion сè уште не наметнува прозорец на важност. Идна поправка ќе додаде рок на важност.
Неавтентициран напаѓач во LAN режим	Ублажено	Ракувањето со пар на WebSocket го потврдува кодот; HMAC + AES ја чува секоја следна команда.
Компромитиран телефон со украден клуч за спарување	Остаток	Не се разликува од „самиот корисник“. Ублажување: ограничување на брзината (10 cmd/min) + потврда за деструктивна команда бара кликнување од страна на компјутерот.
Погрешно напишана команда од апликацијата за телефон	Ублажено	Списокот на дозволени на страната на телефонот блокира непознати префикси; предпроверката на страната на Companion блокира команди насочени кон непостоечки услуги.
Деструктивната команда работи случајно	Ублажено	Прозорец на страната на Companion бара клик од корисникот за да ги одобри Remove-Item, Format-Volume, reg delete, shutdown /r и слични.
Обесени / бегство процес PowerShell	Ублажено	Секоја команда има временска граница — 5 минути стандардно, 45 за долготрајна поправка, 60 на тврдата граница — и целото стебло на процеси се гаси.
Companion .exe мешање помеѓу преземањето и извршувањето	Ублажено	SHA-256 се објавува во companion-version.json; корисниците можат да го проверат. Потпишувањето со Authenticode е планирано пред лансирањето.
Companion чувствителна состојба на протекување пад	Ублажено	Извештаите за падови + отписите за грешки во Firestore се дезинфицираат %USERPROFILE% / %MACHINE% / %USER%.
Украден уред, постојан клуч за спарување на регистарот	Ублажено	Постојаниот код за спарување е шифриран со Windows DPAPI (по сметка), така што не може да се чита од копиран диск или друга сметка на Windows.

Надвор од опсегот

Работи од кои WindowsHelper изречно не заштитува:

• Компромитирана сметка на Windows водење на придружник. Претпоставуваме дека компјутерот на корисникот е негов. Напаѓачот со администратор на компјутерот на корисникот веќе победи.
• Компромитирана бинарна апликација за телефон. Ние не потпишуваме изданија на Android/iOS против манипулации надвор од она што го обезбедува продавницата за апликации на платформата.
• Противници на државно ниво со ресурси да го пробијат Firestore на Google или сертификациските тела на кои се потпира HTTPS. Овој производ е наменет за закани на ниво на обичен корисник — почетни хакери, случајни љубопитници, незадоволни членови на домаќинството — а не за влади.
• Напади преку страничен канал врз AES-GCM преку анализа на потрошувачка или електромагнетно зрачење. Companion не е паметна картичка.

Откривање

• Е-пошта support@windowshelper.app со предмет [security].
• Вклучете броеви на верзии, репро чекори, влијание и идеална поправка.
• Се трудиме да одговориме во рок од 48 часа и да ја процениме сериозноста во рок од една недела. Сериозните проблеми добиваат вонредно издание.
• Прозорец за обелоденување: 90 дена од првичниот извештај, или порано со заеднички договор.
• Во моментов нема платена награда за грешки - им даваме кредит на новинарите во белешките за објавување (со дозвола).