Model Keselamatan

Bagaimana WindowsHelper melindungi PC anda + telefon anda, kriptografi apa yang kami gunakan dan perkara yang kami tidak pertahankan secara jelas. Kemas kini terakhir: 2026-04-25.

Kitaran hayat kod berpasangan

Kod berpasangan ialah rahsia kongsi setiap operasi crypto lain berasal daripada. Kitaran hayat penuh:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• rawak: kod yang dijana melalui RNG selamat secara kriptografi.
• Abjad 32 aksara × 8 kedudukan ≈ 1.1 trilion gabungan. Tidak termasuk I/O/0/1 untuk mengelakkan kekaburan visual, bukan kepentingan keselamatan — ruang kod cukup padat sehingga tetingkap brute-force 5 minit dengan had kadar Firestore tidak boleh dilaksanakan.
• Tidak pernah menulis kepada Firestore oleh mana-mana pihak. Hanya doc sesi MENUNGGU sahaja yang bawa pairingCode; setelah dipasangkan, kod tersebut kekal dalam ingatan secara eksklusif.
• Lap dalam ingatan apabila putuskan sambungan, pasang semula atau tutup apl.

Kriptografi

AES-256-GCM (kerahsiaan arahan + integriti)

Setiap arahan yang dihantar melalui wayar disulitkan dengan AES-256-GCM, mod penyulitan yang disahkan.

• kunci: 256 bit, diperoleh sebagai SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Tidak pernah: 96 bit (12 bait), dijana baharu setiap mesej melalui Random.secure() pada telefon atau RandomNumberGenerator pada pendamping.
• Teg pengesahan: 128 bit (16 bait), dilampirkan pada teks sifir.
• Format wayar: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Keselamatan tidak digunakan semula: Nonces 96-bit daripada CSPRNG memberikan kebarangkalian perlanggaran paradoks hari jadi sebanyak ~2⁻³² selepas 2⁴⁸ mesej — secara astronomi di luar jangkauan untuk sebarang volum arahan yang munasabah.

HMAC-SHA256 (ketulenan arahan)

Setiap arahan juga membawa tandatangan HMAC supaya telefon yang tidak mengetahui kod pasangan tidak boleh menyuntik arahan walaupun ia boleh menulis kepada Firestore.

• kunci: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Asingkan daripada kunci penyulitan.
• Skop lapangan: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Paip adalah aksara paip literal, bukan pembatas - tiga rentetan bercantum.
• Perintah pengesahan: HMAC disahkan sebelum ini penyahsulitan. Mesej palsu membazirkan sifar kitaran CPU pada primitif kriptografi.

Model ancaman

ugutan	Status	Nota
Pendengar pada rangkaian tempatan	Dikurangkan	Teks sifir AES-GCM adalah legap kepada pemerhati MITM.
Pendengar pada pelayan Firestore	Dikurangkan	Google sees AESGCM:... blobs, not commands.
Penyerang yang boleh menulis kepada Firestore tetapi tidak tahu kodnya	Dikurangkan	Pengesahan HMAC gagal; teman mencatat penolakan + menolak pelaksanaan.
Penyerang yang meretakkan / pancing kod pasangan	Baki	Mereka boleh mengeluarkan arahan seolah-olah mereka adalah pengguna. Mitigasi: putar kod dari menu dulang.
Main semula arahan yang dirakam	Baki	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Penyerang tidak sahih mod LAN	Dikurangkan	Jabat tangan pasangan WebSocket mengesahkan kod; Gerbang HMAC + AES setiap arahan berikutnya.
Telefon terjejas dengan kunci gandingan yang dicuri	Baki	Tidak dapat dibezakan daripada "pengguna itu sendiri." Mitigasi: had kadar (10 cmd/min) + pengesahan arahan pemusnah memerlukan klik sebelah PC.
Arahan tersilap taip daripada apl telefon	Dikurangkan	Senarai dibenarkan sebelah telefon menyekat awalan yang tidak dikenali; arahan blok pra-penerbangan sebelah rakan yang menyasarkan perkhidmatan yang tidak wujud.
Arahan pemusnah dijalankan secara tidak sengaja	Dikurangkan	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Proses PowerShell yang digantung / melarikan diri	Dikurangkan	Tamat masa 5 minit yang sukar membunuh keseluruhan pokok proses.
Companion .exe mengganggu antara muat turun dan jalankan	Dikurangkan	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion ranap kebocoran keadaan sensitif	Dikurangkan	Laporan ranap sistem + Tulis balik ralat Firestore membersihkan %USERPROFILE% / %MACHINE% / %USER%.
Peranti dicuri, kunci pasangan Pendaftaran berterusan	Baki	Penyerang dengan akses cakera + log masuk boleh membaca kod yang berterusan. Pembaikan masa depan membungkusnya dengan Windows DPAPI.

Di luar skop

Perkara yang dilakukan oleh WindowsHelper secara eksplisit bukan mempertahankan terhadap:

• Akaun Windows terjejas menjalankan pendamping. Kami menganggap PC pengguna adalah milik mereka. Penyerang dengan pentadbir pada PC pengguna telah pun menang.
• Perduaan apl telefon terjejas. Kami tidak menandatangani binaan Android/iOS terhadap gangguan melebihi apa yang disediakan oleh gedung aplikasi platform.
• Musuh peringkat negeri dengan sumber untuk menumbangkan Google's Firestore atau DigiCert's PKI. Produk ini menyasarkan ancaman gred pengguna — budak skrip, pengintip kasual, ahli isi rumah yang tidak berpuas hati — bukan kerajaan.
• Serangan saluran sampingan pada AES-GCM melalui analisis kuasa / EM. Rakan itu bukan kad pintar.

Pendedahan

• E-mel support@windowshelper.app dengan subjek [security].
• Sila sertakan nombor versi, langkah repro, impak dan pembaikan ideal.
• Maklum balas pertama dalam masa 48 jam. Keterukan percubaan dalam masa satu minggu. Isu keterukan tinggi mendapat keluaran luar kitaran.
• Tetingkap pendedahan: 90 hari dari laporan awal, atau lebih awal dengan persetujuan bersama.
• Tiada hadiah pepijat berbayar buat masa ini — kami memberi kredit kepada wartawan dalam nota keluaran (dengan izin).