← WindowsHelper руу буцах

Хамгаалалтын загвар

WindowsHelper нь таны компьютер + утсыг хэрхэн хамгаалдаг, бид ямар криптограф ашигладаг, мөн юунаас хамгаалахгүй вэ. Сүүлд шинэчлэгдсэн: 2026-04-25.

эмзэг байдлын талаар мэдээлэх

Имэйл support@windowshelper.app сэдэвтэй [security]. Олон нийтийн GitHub-н асуудлыг битгий нээгээрэй - ил болгохоос өмнө бидэнд засвар оруулах цонхыг өгөөрэй.

Хослуулах кодын амьдралын мөчлөг

Хослуулах код нь бусад бүх крипто үйлдэл үүнээс үүсдэг хуваалцсан нууц юм. Бүрэн амьдралын мөчлөг:

[ Утас 8 тэмдэгтийн санамсаргүй код ҮҮСГЭНЭ ]
   ↓
[ Утас кодыг + sessionId-г Firestore-ийн pc_connections баримтад БИЧНЭ ]
   ↓
[ Утас кодыг дэлгэц дээр хэрэглэгчид ХАРУУЛНА ]
   ↓
[ Хэрэглэгч кодыг УНШИЖ, Companion-ы оруулах талбарт бичнэ ]
   ↓
[ Companion кодтой тохирох хүлээгдэж буй сешнийг Firestore-оос ХАЙНА ]
   ↓
[ Хоёр тал шифрлэлтийн түлхүүрийг SHA-256(код, sessionId)-аас ГАРГАНА ]
   ↓
[ Код хоёр талын санах ойд ҮЛДЭНЭ; аль нь ч түүнийг Firestore-д бичихгүй ]
   ↓
[ Салгах / дахин хослуулах нь кодыг хоёр талаас УСТГАНА ]

Санамсаргүй: криптографийн аюулгүй RNG-ээр үүсгэгдсэн кодууд.
30 тэмдэгтийн цагаан толгой × 8 байрлал ≈ 656 тэрбум хослол. Нүдээр андуурахаас сэргийлж I, L, O, Z, 0, 1-ийг хассан — аюулгүй байдлын шалтгаанаар биш. Кодын орон зай хангалттай нягт тул Firestore-ийн хурдны хязгаартай үед 10 минутын хүчээр таах цонх боломжгүй.
Энэ компьютер дээр шифрлэгдсэн байдлаар хадгалагдана. Companion кодыг таны Windows бүртгэлийн регистрт DPAPI-аар шифрлэж хадгалдаг тул дахин ачаалсны дараа дахин холбогдож чадна.
Устгагдана: та холболтыг тасалж сессийг цэвэрлэх, кодыг солих эсвэл устгах үед. Аппыг хаахад хадгалагдсаар байх тул Companion дахин холбогдож чадна.

Криптограф

AES-256-GCM (тушаалын нууцлал + бүрэн бүтэн байдал)

Утсаар илгээсэн тушаал бүрийг AES-256-GCM, баталгаажуулсан шифрлэлтийн горимоор шифрлэдэг.

Түлхүүр: 256 бит, үүсэлтэй SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 бит (12 байт), мессеж бүрт шинээр үүсгэгдсэн Random.secure() утсаар эсвэл RandomNumberGenerator Companion талд.
Баталгаажуулах шошго: Шифрлэгдсэн текстэнд хавсаргасан 128 бит (16 байт).
Утасны формат: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Nonce дахин ашиглагдахгүй байх аюулгүй байдал: CSPRNG-ээс гарсан 96 битийн nonce нь нэг сессийн түлхүүрээр 2³² мессежийн туршид төрсөн өдрийн парадоксын мөргөлдөөний магадлалыг ойролцоогоор 2⁻³² түвшинд барьдаг — энэ бол санамсаргүй GCM nonce-ийн стандарт хязгаар бөгөөд бодит байж болох ямар ч командын хэмжээнээс хамаагүй их юм.

HMAC-SHA256 (тушаалын жинхэнэ байдал)

Команд бүр нь HMAC гарын үсэгтэй байдаг тул хослуулах кодыг мэдэхгүй утас нь Firestore руу бичиж чаддаг байсан ч команд оруулах боломжгүй.

Түлхүүр: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Шифрлэлтийн түлхүүрээс тусад нь.
Талбайн хамрах хүрээ: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Хоолойнууд нь зааглагч биш харин шууд утгаараа хоолойн тэмдэгтүүд юм - гурван холбосон мөр.
Шалгах дараалал: HMAC-ийг тайлахаас өмнө шалгадаг. Хуурамч мессежүүд криптограф үйлдэлд нэг ч CPU мөчлөг зарцуулдаггүй.

Аюул заналхийллийн загвар

Аюул заналхийлэл	Статус	Тэмдэглэл
Дотоод сүлжээнд чагнасан	Хөнгөрүүлсэн	AES-GCM шифр текст нь MITM ажиглагчдад тунгалаг биш юм.
Firestore серверүүд дээр чагнах	Хөнгөрүүлсэн	Google командыг биш, `AESGCM:...` блокуудыг л хардаг.
Firestore руу бичиж чаддаг ч кодыг нь мэддэггүй халдагч	Хөнгөрүүлсэн	HMAC шалгалт бүтэлгүйтнэ; Companion татгалзлыг бүртгэж, гүйцэтгэхээс татгалзана.
Хослуулах кодыг эвдсэн/фишинг хийсэн халдагч	Үлдэгдэл	Тэд хэрэглэгч юм шиг команд өгөх боломжтой. Хөнгөвчлөх: тавиур цэснээс кодыг эргүүлнэ үү.
Бичсэн командыг дахин тоглуулах	Үлдэгдэл	`sentAtMillis` нь HMAC-т холбогдсон; Companion хараахан хүчинтэй хугацааг шаарддаггүй. Ирээдүйн засвар дуусах хугацаа нэмнэ.
LAN горимын нэвтрэлт танигдаагүй халдагч	Хөнгөрүүлсэн	WebSocket хос гар барих нь кодыг баталгаажуулдаг; HMAC + AES хаалга нь дараагийн тушаал бүр.
Хулгайлсан хосолсон түлхүүртэй утас алдагдсан	Үлдэгдэл	"Хэрэглэгч өөрөө" -ээс ялгагдахгүй. Хөнгөвчлөх: хурдны хязгаар (10 смд/мин) + устгах командын баталгаажуулалт нь компьютерийн хажуугийн товшилтыг шаарддаг.
Утасны програмын тушаалыг буруу бичсэн байна	Хөнгөрүүлсэн	Утасны талын зөвшөөрөгдсөн жагсаалт танигдаагүй угтварыг хаадаг; Companion талын урьдчилсан шалгалт байхгүй үйлчилгээ рүү чиглэсэн командыг хаадаг.
Хор хөнөөлтэй командыг санамсаргүйгээр ажиллуулдаг	Хөнгөрүүлсэн	Companion талын цонх `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` зэргийг зөвшөөрөхийн тулд хэрэглэгчийн товшилтыг шаарддаг.
Өгөгдсөн / зугтсан PowerShell процесс	Хөнгөрүүлсэн	Команд бүр хугацааны хязгаартай — анхдагчаар 5 минут, удаан үргэлжлэх засварт 45, хатуу тааз дээр 60 — бөгөөд процессын бүх мод зогсоогдоно.
Companion .exe татаж авах болон ажиллуулах хооронд хөндлөнгөөс оролцож байна	Хөнгөрүүлсэн	SHA-256-г `companion-version.json`-д нийтэлдэг; хэрэглэгчид шалгах боломжтой. Authenticode гарын үсэг зурахыг гаргахаас өмнө төлөвлөсөн.
Companion гэмтэл алдагдсан эмзэг төлөв	Хөнгөрүүлсэн	Гэмтлийн тайлан + Firestore алдаа бичихийг ариутгана `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Хулгайлагдсан төхөөрөмж. Бүртгэлийн холболтын түлхүүр	Хөнгөрүүлсэн	Тогтвортой холболтын код нь Windows DPAPI (данс бүрээр) шифрлэгдсэн тул хуулсан диск эсвэл өөр Windows бүртгэлээс унших боломжгүй.

Хамрах хүрээнээс гадуур

WindowsHelper тодорхой хамгаалдаггүй зүйлс:

Эвдэрсэн Windows бүртгэл хамтрагчаа ажиллуулж байна. Бид хэрэглэгчийн компьютерийг тэднийх гэж бодож байна. Хэрэглэгчийн компьютер дээр админтай халдагч аль хэдийн ялсан байна.
Эвдэрсэн утасны програмын хоёртын хувилбар. Бид платформын програмын дэлгүүрээс хэтрүүлэн өөрчлөхийн эсрэг Android/iOS-д гарын үсэг зурахгүй.
Төрийн түвшний дайсагнагчид — Google-ийн Firestore эсвэл HTTPS-ийн цаад гэрчилгээ олгогч байгууллагуудыг эвдэх нөөцтэй этгээдүүд. Энэ бүтээгдэхүүн энгийн хэрэглэгчийн түвшний аюулд зориулагдсан — анхан шатны хакерууд, санамсаргүй шагайгчид, дургүйцсэн гэр бүлийн гишүүд — засгийн газруудад зориулаагүй.
Тэжээл / ЭМ шинжилгээгээр AES-GCM-ийн эсрэг хажуугийн сувгийн халдлага. Companion бол ухаалаг карт биш.

Ил тод болгох

Имэйл support@windowshelper.app сэдэвтэй [security].
Хувилбарын дугаар, давталтын алхам, нөлөөлөл, хамгийн тохиромжтой засварыг оруулна уу.
Бид 48 цагийн дотор хариулж, долоо хоногийн дотор ноцтой байдлыг үнэлэхийг зорьдог. Ноцтой асуудлууд ердийн мөчлөгөөс гадуур хувилбар авдаг.
Ил тод болгох цонх: Анхны тайлангаас хойш 90 хоног эсвэл харилцан тохиролцсоны үндсэн дээр.
Одоогоор төлбөртэй алдааны шагнал байхгүй - бид (зөвшөөрөлтэй) хувилбарын тэмдэглэлд сэтгүүлчдэд зээлдэг.