सुरक्षा मोडेल

कसरी WindowsHelper ले तपाइँको PC + तपाइँको फोनलाई सुरक्षित गर्दछ, हामीले कुन क्रिप्टोग्राफी प्रयोग गर्छौं, र हामी स्पष्ट रूपमा के विरुद्ध रक्षा गर्दैनौं। पछिल्लो पटक अपडेट गरिएको: २०२६-०४-२५।

जोडी-कोड जीवनचक्र

जोडी कोड हो साझा रहस्य हरेक अन्य क्रिप्टो अपरेशनबाट व्युत्पन्न हुन्छ। पूर्ण जीवनचक्र:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• अनियमित: क्रिप्टोग्राफिक रूपमा सुरक्षित RNGs मार्फत उत्पन्न कोडहरू।
• 32-char वर्णमाला × 8 स्थितिहरू ≈ 1.1 ट्रिलियन संयोजनहरू। भिजुअल अस्पष्टताबाट बच्न I/O/0/1 लाई समावेश गर्दैन, सुरक्षाको महत्त्व होइन — कोडस्पेस पर्याप्त बाक्लो छ कि फायरस्टोर दर सीमाको साथ 5-मिनेट ब्रूट-फोर्स विन्डो असम्भव छ।
• दुबै तर्फबाट Firestore लाई कहिल्यै लेखिएको छैन। प्रतीक्षा सत्र कागजात मात्र बोक्छ pairingCode; एक पटक जोडा बनाइएपछि, कोड विशेष रूपमा मेमोरीमा रहन्छ।
• इन-मेमोरी वाइप विच्छेद, पुन: जोडा वा एप बन्द गर्दा।

क्रिप्टोग्राफी

AES-256-GCM (आदेश गोपनीयता + अखण्डता)

तारमा पठाइएका प्रत्येक आदेश AES-256-GCM, एक प्रमाणीकृत-इन्क्रिप्शन मोडसँग इन्क्रिप्ट गरिएको छ।

• कुञ्जी: 256 बिट, को रूपमा व्युत्पन्न SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• गैर: 96 बिट (12 बाइट), ताजा प्रति-सन्देश मार्फत उत्पन्न Random.secure() फोनमा वा RandomNumberGenerator साथी मा।
• प्रमाणीकरण ट्याग: 128 बिट (16 बाइट), सिफरटेक्स्टमा जोडिएको।
• तार ढाँचा: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• पुन: प्रयोग नगर्ने सुरक्षा: CSPRNG बाट 96-bit nonces ले 2⁴⁸ सन्देशहरू पछि ~2⁻³² को जन्मदिन-विरोधाभास टक्करको सम्भावना दिन्छ — खगोलीय रूपमा कुनै पनि सम्भव आदेश भोल्युमको पहुँच बाहिर।

HMAC-SHA256 (आदेश प्रमाणिकता)

प्रत्येक आदेशमा HMAC हस्ताक्षर पनि हुन्छ त्यसैले जोडा कोड थाहा नभएको फोनले फायरस्टोरमा लेख्न सक्ने भए पनि आदेशहरू इन्जेक्ट गर्न सक्दैन।

• कुञ्जी: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). गुप्तिकरण कुञ्जीबाट अलग गर्नुहोस्।
• क्षेत्रको दायरा: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). पाइपहरू शाब्दिक पाइप क्यारेक्टरहरू हुन्, डिलिमिटरहरू होइनन् — तीन जोडिएका तारहरू।
• प्रमाणीकरण आदेश: HMAC प्रमाणित अघि डिक्रिप्शन। नक्कली सन्देशहरूले क्रिप्टोग्राफिक आदिमा शून्य CPU चक्रहरू बर्बाद गर्दछ।

खतरा मोडेल

धम्की	स्थिति	नोटहरू
स्थानीय नेटवर्कमा Eavesdropper	न्यून भयो	AES-GCM सिफरटेक्स्ट MITM पर्यवेक्षकहरूको लागि अपारदर्शी छ।
फायरस्टोर सर्भरहरूमा Eavesdropper	न्यून भयो	Google sees AESGCM:... blobs, not commands.
आक्रमणकर्ता जसले फायरस्टोरमा लेख्न सक्छ तर कोड थाहा छैन	न्यून भयो	HMAC प्रमाणीकरण असफल; साथीले अस्वीकार लगाउँछ + कार्यान्वयन अस्वीकार गर्दछ।
जोडा बनाउने कोड क्र्याक/फिश गर्ने आक्रमणकारी	अवशिष्ट	तिनीहरूले आदेश जारी गर्न सक्छन् मानौं तिनीहरू प्रयोगकर्ता थिए। मिटिगेसन: ट्रे मेनुबाट कोड घुमाउनुहोस्।
रेकर्ड गरिएको आदेशको रिप्ले	अवशिष्ट	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN-मोड अप्रमाणित आक्रमणकारी	न्यून भयो	WebSocket जोडी ह्यान्डशेकले कोड प्रमाणित गर्दछ; HMAC + AES गेट प्रत्येक पछिको आदेश।
चोरी भएको जोडा कुञ्जीसँग सम्झौता गरिएको फोन	अवशिष्ट	"प्रयोगकर्ता आफैं" बाट अलग गर्न सकिँदैन। न्यूनीकरण: दर सीमा (१० सेमीडी/मिनेट) + विनाशकारी-आदेश पुष्टिकरणको लागि PC-साइड क्लिक आवश्यक छ।
फोन एपबाट गलत टाइप गरिएको आदेश	न्यून भयो	फोन-साइड अनुमति सूचीले अपरिचित उपसर्गहरू रोक्छ; कम्प्यानियन-साइड प्रि-फ्लाइट ब्लकहरू अवस्थित सेवाहरूलाई लक्षित गर्ने आदेशहरू।
विनाशकारी आदेश संयोगवश चल्छ	न्यून भयो	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Hung / runaw PowerShell प्रक्रिया	न्यून भयो	कडा 5-मिनेट टाइमआउटले सम्पूर्ण प्रक्रिया रूखलाई मार्छ।
Companion .exe डाउनलोड र रन बीचको छेडछाड	न्यून भयो	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion दुर्घटना चुहावट संवेदनशील अवस्था	न्यून भयो	क्र्यास रिपोर्टहरू + फायरस्टोर त्रुटि राइटब्याकहरू सेनिटाइज %USERPROFILE% / %MACHINE% / %USER%.
चोरी भएको यन्त्र, कायम रजिस्ट्री जोडा कुञ्जी	अवशिष्ट	डिस्क + लगइन पहुँच भएको आक्रमणकर्ताले निरन्तर कोड पढ्न सक्छ। भविष्यको समाधानले यसलाई Windows DPAPI सँग लपेट्छ।

दायरा बाहिर

कुराहरू WindowsHelper ले स्पष्ट रूपमा गर्छ होइन विरुद्ध रक्षा:

• सम्झौता Windows खाता साथी चलाउँदै। हामी प्रयोगकर्ताको पीसी उनीहरूको हो भनी मान्दछौं। प्रयोगकर्ताको PC मा व्यवस्थापक भएको आक्रमणकारीले पहिले नै जितेको छ।
• सम्झौता फोन एप बाइनरी। हामी प्लेटफर्मको एप स्टोरले उपलब्ध गराएको भन्दा बाहिरको छेडछाड विरुद्ध एन्ड्रोइड/आईओएस निर्माणमा हस्ताक्षर गर्दैनौं।
• राज्य स्तरका विरोधीहरू गुगलको फायरस्टोर वा डिजिसर्टको पीकेआईलाई विघटन गर्न स्रोतहरूसँग। यो उत्पादनले उपभोक्ता-स्तरीय खतराहरूलाई लक्षित गर्दछ — स्क्रिप्ट किडीहरू, क्याजुअल स्नूपरहरू, असन्तुष्ट घरका सदस्यहरू — सरकारहरूलाई होइन।
• साइड च्यानल आक्रमणहरू शक्ति / EM विश्लेषण मार्फत AES-GCM मा। साथी स्मार्टकार्ड होइन।

खुलासा

• इमेल support@windowshelper.app विषय संग [security].
• कृपया संस्करण नम्बरहरू, रिप्रो चरणहरू, प्रभाव, र आदर्श समाधान समावेश गर्नुहोस्।
• 48 घण्टा भित्र पहिलो प्रतिक्रिया। एक हप्ता भित्र ट्राइजेड गम्भीरता। उच्च-गम्भीरताका समस्याहरूले साइकल बाहिरको रिलीज पाउँछन्।
• खुलासा विन्डो: प्रारम्भिक रिपोर्ट देखि 90 दिन, वा आपसी सम्झौता द्वारा पहिले।
• हाल कुनै भुक्तान गरिएको बग बाउन्टी छैन — हामी रिपोर्टरहरूलाई रिलीज नोटहरूमा क्रेडिट गर्छौं (अनुमति सहित)।