Model Keselamatan

Bagaimana WindowsHelper melindungi PC anda + telefon anda, kriptografi apa yang kami gunakan dan perkara yang kami tidak pertahankan secara jelas. Kemas kini terakhir: 2026-04-25.

Kitaran hayat kod berpasangan

Kod berpasangan ialah rahsia kongsi yang menjadi asal setiap operasi kripto yang lain. Kitaran hayat penuh:

[ Telefon MENJANA kod rawak 8 aksara ]
   ↓
[ Telefon MENULIS kod + sessionId ke Firestore dalam dokumen pc_connections ]
   ↓
[ Telefon MEMAPARKAN kod kepada pengguna pada skrin ]
   ↓
[ Pengguna MEMBACA kod dan menaipnya dalam medan input Companion ]
   ↓
[ Companion MENCARI dalam Firestore sesi menunggu yang sepadan dengan kod ]
   ↓
[ Kedua-dua belah pihak MENERBITKAN kunci penyulitan daripada SHA-256(kod, sessionId) ]
   ↓
[ Kod KEKAL dalam memori kedua-dua belah pihak; tiada satu pun menulisnya ke Firestore ]
   ↓
[ Pemutusan / pemasangan semula MEMADAM kod di kedua-dua belah pihak ]

• rawak: kod yang dijana melalui RNG selamat secara kriptografi.
• Abjad 30 aksara × 8 kedudukan ≈ 656 bilion kombinasi. Tidak memasukkan I, L, O, Z, 0 dan 1 untuk mengelakkan kekeliruan penglihatan, bukan atas sebab keselamatan — ruang kod cukup padat sehingga tetingkap brute force 10 minit, dengan had kadar Firestore, tidak mungkin dilaksanakan.
• Disimpan secara tersulit pada PC ini. Companion menyimpan kod dalam Registry akaun Windows anda, disulitkan dengan DPAPI, supaya ia boleh menyambung semula selepas dimulakan semula.
• Dipadam apabila anda memutuskan sambungan dan mengosongkan sesi, menukar kod atau menyahpasang. Menutup aplikasi mengekalkannya, supaya Companion boleh menyambung semula.

Kriptografi

AES-256-GCM (kerahsiaan arahan + integriti)

Setiap arahan yang dihantar melalui wayar disulitkan dengan AES-256-GCM, mod penyulitan yang disahkan.

• kunci: 256 bit, diperoleh sebagai SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bit (12 bait), dijana baharu setiap mesej melalui Random.secure() pada telefon atau RandomNumberGenerator di sebelah Companion.
• Teg pengesahan: 128 bit (16 bait), dilampirkan pada teks sifir.
• Format wayar: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Keselamatan nonce tidak digunakan semula: Nonce 96-bit daripada CSPRNG mengekalkan kebarangkalian perlanggaran mengikut paradoks hari jadi pada kira-kira 2⁻³² sepanjang 2³² mesej dengan satu kunci sesi — had piawai bagi nonce GCM rawak, dan jauh melebihi sebarang jumlah arahan yang munasabah.

HMAC-SHA256 (ketulenan arahan)

Setiap arahan juga membawa tandatangan HMAC supaya telefon yang tidak mengetahui kod pasangan tidak boleh menyuntik arahan walaupun ia boleh menulis kepada Firestore.

• kunci: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Asingkan daripada kunci penyulitan.
• Skop lapangan: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Paip adalah aksara paip literal, bukan pembatas - tiga rentetan bercantum.
• Susunan pengesahan: HMAC disahkan sebelum penyahsulitan. Mesej palsu tidak membazirkan satu kitaran CPU pun untuk operasi kriptografi.

Model ancaman

ugutan	Status	Nota
Pendengar pada rangkaian tempatan	Dikurangkan	Teks sifir AES-GCM adalah legap kepada pemerhati MITM.
Pendengar pada pelayan Firestore	Dikurangkan	Google melihat blob AESGCM:..., bukan arahan.
Penyerang yang boleh menulis kepada Firestore tetapi tidak tahu kodnya	Dikurangkan	Pengesahan HMAC gagal; Companion mencatat penolakan itu dan enggan menjalankannya.
Penyerang yang meretakkan / pancing kod pasangan	Baki	Mereka boleh mengeluarkan arahan seolah-olah mereka adalah pengguna. Mitigasi: putar kod dari menu dulang.
Main semula arahan yang dirakam	Baki	sentAtMillis terikat kepada HMAC; Companion belum menguatkuasakan tetingkap kesahan. Pembaikan akan datang akan menambah tempoh luput.
Penyerang tidak sahih mod LAN	Dikurangkan	Jabat tangan pasangan WebSocket mengesahkan kod; Gerbang HMAC + AES setiap arahan berikutnya.
Telefon terjejas dengan kunci gandingan yang dicuri	Baki	Tidak dapat dibezakan daripada "pengguna itu sendiri." Mitigasi: had kadar (10 cmd/min) + pengesahan arahan pemusnah memerlukan klik sebelah PC.
Arahan tersilap taip daripada apl telefon	Dikurangkan	Senarai benarkan di sebelah telefon menyekat awalan yang tidak dikenali; pemeriksaan awal di sebelah Companion menyekat arahan yang menyasarkan perkhidmatan yang tidak wujud.
Arahan pemusnah dijalankan secara tidak sengaja	Dikurangkan	Tetingkap di sebelah Companion memerlukan klik pengguna untuk meluluskan Remove-Item, Format-Volume, reg delete, shutdown /r dan seumpamanya.
Proses PowerShell yang digantung / melarikan diri	Dikurangkan	Setiap arahan ada had masa — 5 minit secara lalai, 45 untuk pembaikan panjang, 60 pada siling keras — dan seluruh pokok proses dimatikan.
Companion .exe mengganggu antara muat turun dan jalankan	Dikurangkan	SHA-256 diterbitkan dalam companion-version.json; pengguna boleh menyemaknya. Tandatangan Authenticode dirancang sebelum pelancaran.
Companion ranap kebocoran keadaan sensitif	Dikurangkan	Laporan ranap sistem + Tulis balik ralat Firestore membersihkan %USERPROFILE% / %MACHINE% / %USER%.
Peranti dicuri, kunci pasangan Pendaftaran berterusan	Dikurangkan	Kod gandingan yang berterusan disulitkan dengan Windows DPAPI (setiap akaun), jadi ia tidak boleh dibaca daripada cakera yang disalin atau akaun Windows yang berbeza.

Di luar skop

Perkara yang secara eksplisit tidak dilindungi oleh WindowsHelper:

• Akaun Windows terjejas menjalankan pendamping. Kami menganggap PC pengguna adalah milik mereka. Penyerang dengan pentadbir pada PC pengguna telah pun menang.
• Perduaan apl telefon terjejas. Kami tidak menandatangani binaan Android/iOS terhadap gangguan melebihi apa yang disediakan oleh gedung aplikasi platform.
• Musuh peringkat negara yang mempunyai sumber untuk menembusi Firestore milik Google atau pihak berkuasa sijil di sebalik HTTPS. Produk ini ditujukan kepada ancaman peringkat pengguna biasa — penggodam amatur, pengintip iseng, ahli rumah yang kecewa — bukan kerajaan.
• Serangan saluran sisi terhadap AES-GCM melalui analisis kuasa / EM. Companion bukan kad pintar.

Pendedahan

• E-mel support@windowshelper.app dengan subjek [security].
• Sila sertakan nombor versi, langkah repro, impak dan pembaikan ideal.
• Kami berusaha membalas dalam 48 jam dan menilai tahap keterukan dalam seminggu. Isu yang serius mendapat keluaran di luar kitaran biasa.
• Tetingkap pendedahan: 90 hari dari laporan awal, atau lebih awal dengan persetujuan bersama.
• Tiada hadiah pepijat berbayar buat masa ini — kami memberi kredit kepada wartawan dalam nota keluaran (dengan izin).