सुरक्षा मोडेल

कसरी WindowsHelper ले तपाइँको PC + तपाइँको फोनलाई सुरक्षित गर्दछ, हामीले कुन क्रिप्टोग्राफी प्रयोग गर्छौं, र हामी स्पष्ट रूपमा के विरुद्ध रक्षा गर्दैनौं। पछिल्लो पटक अपडेट गरिएको: २०२६-०४-२५।

जोडी-कोड जीवनचक्र

जोडी कोड नै त्यो साझा रहस्य हो जसबाट अन्य हरेक क्रिप्टो अपरेसन व्युत्पन्न हुन्छ। पूर्ण जीवनचक्र:

[ फोनले ८ अक्षरको अनियमित कोड बनाउँछ ]
   ↓
[ फोनले कोड + sessionId Firestore को pc_connections कागजातमा लेख्छ ]
   ↓
[ फोनले स्क्रिनमा प्रयोगकर्तालाई कोड देखाउँछ ]
   ↓
[ प्रयोगकर्ताले कोड पढ्छ र Companion को इनपुट बाकसमा टाइप गर्छ ]
   ↓
[ Companion ले कोडसँग मिल्ने पर्खिरहेको सत्र Firestore मा खोज्छ ]
   ↓
[ दुवै पक्षले SHA-256(कोड, sessionId) बाट इन्क्रिप्सन कुञ्जीहरू निकाल्छन् ]
   ↓
[ कोड दुवै पक्षको मेमोरीमा रहन्छ; कसैले पनि यसलाई Firestore मा लेख्दैन ]
   ↓
[ जडान तोड्ने / पुनः जोड्ने कार्यले दुवै पक्षबाट कोड मेटाउँछ ]

• अनियमित: क्रिप्टोग्राफिक रूपमा सुरक्षित RNGs मार्फत उत्पन्न कोडहरू।
• ३० अक्षरको वर्णमाला × ८ स्थान ≈ ६५६ अर्ब संयोजन। दृष्टिगत भ्रम हटाउन I, L, O, Z, 0 र 1 छाडिएका छन् — सुरक्षाका कारणले होइन। कोडको ठाउँ पर्याप्त बाक्लो छ, त्यसैले Firestore को दर सीमासहित १० मिनेटको ब्रुट-फोर्स झ्याल असम्भव छ।
• यो पीसीमा इन्क्रिप्ट गरेर राखिन्छ। Companion ले कोडलाई तपाईंको Windows खाताको रजिस्ट्रीमा DPAPI ले इन्क्रिप्ट गरेर राख्छ, ताकि पुनः सुरु भएपछि फेरि जोडिन सकोस्।
• मेटिन्छ: तपाईंले जडान तोडेर सत्र सफा गर्दा, कोड बदल्दा वा अनइन्स्टल गर्दा। एप बन्द गर्दा यो रहन्छ, ताकि Companion फेरि जोडिन सकोस्।

क्रिप्टोग्राफी

AES-256-GCM (आदेश गोपनीयता + अखण्डता)

तारमा पठाइएका प्रत्येक आदेश AES-256-GCM, एक प्रमाणीकृत-इन्क्रिप्शन मोडसँग इन्क्रिप्ट गरिएको छ।

• कुञ्जी: 256 बिट, को रूपमा व्युत्पन्न SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 बिट (12 बाइट), ताजा प्रति-सन्देश मार्फत उत्पन्न Random.secure() फोनमा वा RandomNumberGenerator Companion तर्फ।
• प्रमाणीकरण ट्याग: 128 बिट (16 बाइट), सिफरटेक्स्टमा जोडिएको।
• तार ढाँचा: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Nonce पुन: प्रयोग नहुने सुरक्षा: CSPRNG बाट आएका ९६-बिट nonce ले एउटै सेसन कुञ्जीमा 2³² सन्देशसम्म जन्मदिन-विरोधाभास टकरावको सम्भावना लगभग 2⁻³² मा राख्छन् — यो अनियमित GCM nonce को मानक सीमा हो, र कुनै पनि सम्भाव्य आदेश सङ्ख्याभन्दा धेरै माथि छ।

HMAC-SHA256 (आदेश प्रमाणिकता)

प्रत्येक आदेशमा HMAC हस्ताक्षर पनि हुन्छ त्यसैले जोडा कोड थाहा नभएको फोनले फायरस्टोरमा लेख्न सक्ने भए पनि आदेशहरू इन्जेक्ट गर्न सक्दैन।

• कुञ्जी: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). गुप्तिकरण कुञ्जीबाट अलग गर्नुहोस्।
• क्षेत्रको दायरा: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). पाइपहरू शाब्दिक पाइप क्यारेक्टरहरू हुन्, डिलिमिटरहरू होइनन् — तीन जोडिएका तारहरू।
• प्रमाणीकरणको क्रम: डिक्रिप्शन अघि HMAC प्रमाणित गरिन्छ। नक्कली सन्देशहरूले क्रिप्टोग्राफिक कार्यहरूमा एउटै CPU चक्र खर्च गर्दैनन्।

खतरा मोडेल

धम्की	स्थिति	नोटहरू
स्थानीय नेटवर्कमा इभ्सड्रपर	न्यून भयो	AES-GCM सिफरटेक्स्ट MITM पर्यवेक्षकहरूको लागि अपारदर्शी छ।
इभ्सड्रपर Firestore सर्भरहरूमा	न्यून भयो	Google ले AESGCM:... ब्लब देख्छ, आदेश होइन।
आक्रमणकर्ता जसले फायरस्टोरमा लेख्न सक्छ तर कोड थाहा छैन	न्यून भयो	HMAC प्रमाणीकरण असफल हुन्छ; Companion ले अस्वीकृति लग गर्छ र चलाउन अस्वीकार गर्छ।
जोडा बनाउने कोड क्र्याक/फिश गर्ने आक्रमणकारी	अवशिष्ट	तिनीहरूले आदेश जारी गर्न सक्छन् मानौं तिनीहरू प्रयोगकर्ता थिए। मिटिगेसन: ट्रे मेनुबाट कोड घुमाउनुहोस्।
रेकर्ड गरिएको आदेशको रिप्ले	अवशिष्ट	sentAtMillis HMAC सँग बाँधिएको छ; Companion ले अझै वैधता अवधि लागू गर्दैन। भविष्यको सुधारले म्याद सकिने समय थप्नेछ।
LAN-मोड अप्रमाणित आक्रमणकारी	न्यून भयो	WebSocket जोडी ह्यान्डशेकले कोड प्रमाणित गर्दछ; HMAC + AES गेट प्रत्येक पछिको आदेश।
चोरी भएको जोडा कुञ्जीसँग सम्झौता गरिएको फोन	अवशिष्ट	"प्रयोगकर्ता आफैं" बाट अलग गर्न सकिँदैन। न्यूनीकरण: दर सीमा (१० सेमीडी/मिनेट) + विनाशकारी-आदेश पुष्टिकरणको लागि PC-साइड क्लिक आवश्यक छ।
फोन एपबाट गलत टाइप गरिएको आदेश	न्यून भयो	फोनतर्फको अनुमति-सूचीले नचिनिने उपसर्गहरू रोक्छ; Companion तर्फको पूर्व-जाँचले नभएका सेवाहरूलाई लक्ष्य गर्ने आदेशहरू रोक्छ।
विनाशकारी आदेश संयोगवश चल्छ	न्यून भयो	Companion तर्फको विन्डोले Remove-Item, Format-Volume, reg delete, shutdown /r आदि स्वीकृत गर्न प्रयोगकर्ताको क्लिक माग्छ।
PowerShell प्रक्रिया जुन ह्याङ्ग वा नियन्त्रण बाहिर छ	न्यून भयो	हरेक आदेशको समयसीमा हुन्छ — पूर्वनिर्धारित रूपमा ५ मिनेट, लामो चल्ने फिक्सका लागि ४५, कडा सीमामा ६० — र सम्पूर्ण प्रोसेस ट्री बन्द गरिन्छ।
Companion .exe डाउनलोड र रन बीचको छेडछाड	न्यून भयो	SHA-256 companion-version.json मा प्रकाशित हुन्छ; प्रयोगकर्ताहरूले जाँच्न सक्छन्। सुरुआतअघि Authenticode हस्ताक्षरको योजना छ।
Companion दुर्घटना चुहावट संवेदनशील अवस्था	न्यून भयो	क्र्यास रिपोर्टहरू + फायरस्टोर त्रुटि राइटब्याकहरू सेनिटाइज %USERPROFILE% / %MACHINE% / %USER%.
चोरी भएको यन्त्र, कायम रजिस्ट्री जोडा कुञ्जी	न्यून भयो	निरन्तर जोडी कोड Windows DPAPI (प्रति-खाता) सँग इन्क्रिप्ट गरिएको छ, त्यसैले यसलाई प्रतिलिपि गरिएको डिस्क वा फरक Windows खाताबाट पढ्न सकिँदैन।

दायरा बाहिर

जसबाट WindowsHelper ले स्पष्ट रूपमा सुरक्षा दिँदैन:

• सम्झौता Windows खाता साथी चलाउँदै। हामी प्रयोगकर्ताको पीसी उनीहरूको हो भनी मान्दछौं। प्रयोगकर्ताको PC मा व्यवस्थापक भएको आक्रमणकारीले पहिले नै जितेको छ।
• सम्झौता फोन एप बाइनरी। हामी प्लेटफर्मको एप स्टोरले उपलब्ध गराएको भन्दा बाहिरको छेडछाड विरुद्ध एन्ड्रोइड/आईओएस निर्माणमा हस्ताक्षर गर्दैनौं।
• राष्ट्र-स्तरका विरोधीहरू, जोसँग Google को Firestore वा HTTPS पछाडिका प्रमाणपत्र प्राधिकारीहरू तोड्ने स्रोत छन्। यो उत्पादन सामान्य प्रयोगकर्ता-स्तरका खतराहरूका लागि हो — नौसिखिया ह्याकर, संयोगले चियाउनेहरू, असन्तुष्ट घरका सदस्य — सरकारहरूका लागि होइन।
• पावर / EM विश्लेषणमार्फत AES-GCM माथि साइड-च्यानल आक्रमण। Companion स्मार्ट कार्ड होइन।

खुलासा

• इमेल support@windowshelper.app विषय संग [security].
• कृपया संस्करण नम्बरहरू, रिप्रो चरणहरू, प्रभाव, र आदर्श समाधान समावेश गर्नुहोस्।
• हामी ४८ घण्टाभित्र जवाफ दिन र एक हप्ताभित्र गम्भीरता मूल्याङ्कन गर्न प्रयास गर्छौं। गम्भीर समस्याहरूले नियमित चक्रबाहिर रिलिज पाउँछन्।
• खुलासा विन्डो: प्रारम्भिक रिपोर्ट देखि 90 दिन, वा आपसी सम्झौता द्वारा पहिले।
• हाल कुनै भुक्तान गरिएको बग बाउन्टी छैन — हामी रिपोर्टरहरूलाई रिलीज नोटहरूमा क्रेडिट गर्छौं (अनुमति सहित)।