Beveiligingsmodel

Hoe WindowsHelper uw pc en uw telefoon beschermt, welke cryptografie we gebruiken en waar we ons expliciet niet tegen verdedigen. Laatst bijgewerkt: 25-04-2026.

Levenscyclus van koppelingscode

De koppelingscode is het gedeelde geheim waaruit elke andere crypto-operatie wordt afgeleid. De volledige levenscyclus:

[ Telefoon GENEREERT een willekeurige code van 8 tekens ]
   ↓
[ Telefoon SCHRIJFT code + sessionId naar Firestore in het document pc_connections ]
   ↓
[ Telefoon TOONT de code aan de gebruiker op het scherm ]
   ↓
[ Gebruiker LEEST de code en typt hem in het invoerveld van de Companion ]
   ↓
[ Companion ZOEKT in Firestore de wachtende sessie die bij de code hoort ]
   ↓
[ Beide kanten LEIDEN de cryptosleutels AF uit SHA-256(code, sessionId) ]
   ↓
[ De code BLIJFT aan beide kanten in het geheugen; geen van beide schrijft hem naar Firestore ]
   ↓
[ Verbreken / opnieuw koppelen WIST de code aan beide kanten ]

• Willekeurig: codes gegenereerd via cryptografisch beveiligde RNG's.
• Alfabet van 30 tekens × 8 posities ≈ 656 miljard combinaties. Laat I, L, O, Z, 0 en 1 weg om visuele verwarring te voorkomen, niet om veiligheidsredenen — de coderuimte is dicht genoeg dat een brute-force-venster van 10 minuten, met de snelheidslimieten van Firestore, onhaalbaar is.
• Versleuteld bewaard op deze pc. De Companion slaat de code op in het register van je Windows-account, versleuteld met DPAPI, zodat hij na een herstart opnieuw kan verbinden.
• Gewist wanneer je de verbinding verbreekt en de sessie wist, de code vervangt of de-installeert. Bij het sluiten van de app blijft hij bewaard, zodat de Companion opnieuw kan verbinden.

Cryptografie

AES-256-GCM (opdracht vertrouwelijkheid + integriteit)

Elke opdracht die via de draad wordt verzonden, wordt gecodeerd met AES-256-GCM, een geverifieerde coderingsmodus.

• Sleutel: 256 bits, afgeleid als SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bits (12 bytes), vers gegenereerd per bericht via Random.secure() op telefoon of RandomNumberGenerator aan de Companion-kant.
• Authenticatietag: 128 bits (16 bytes), toegevoegd aan de cijfertekst.
• Draadformaat: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Veiligheid tegen hergebruik van de nonce: 96-bits nonces uit een CSPRNG houden de botsingskans volgens de verjaardagsparadox rond 2⁻³² over 2³² berichten met één sessiesleutel — de standaardgrens voor willekeurige GCM-nonces, en ver voorbij elk plausibel aantal opdrachten.

HMAC-SHA256 (authenticiteit van opdrachten)

Elke opdracht heeft ook een HMAC-handtekening, zodat een telefoon die de koppelingscode niet kent, geen opdrachten kan injecteren, zelfs als deze naar Firestore kan schrijven.

• Sleutel: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Los van de coderingssleutel.
• Veldbereik: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). De pijpen zijn letterlijke pijptekens, geen scheidingstekens: drie aaneengeschakelde strings.
• Verificatievolgorde: de HMAC wordt vóór de ontsleuteling geverifieerd. Vervalste berichten verspillen geen enkele CPU-cyclus aan cryptografische bewerkingen.

Bedreigingsmodel

Bedreiging	Status	Opmerkingen
Afluisteraar op het lokale netwerk	Verzacht	AES-GCM-cijfertekst is ondoorzichtig voor MITM-waarnemers.
Afluisteraar op Firestore-servers	Verzacht	Google ziet AESGCM:...-blokken, geen opdrachten.
Aanvaller die naar Firestore kan schrijven maar de code niet kent	Verzacht	De HMAC-verificatie mislukt; de Companion logt de weigering en weigert de uitvoering.
Aanvaller die de koppelingscode heeft gekraakt/phished	Resterend	Zij kunnen opdrachten geven alsof zij de gebruiker zijn. Oplossing: roteer de code vanuit het lademenu.
Herhaling van een opgenomen commando	Resterend	sentAtMillis is HMAC-gebonden; de Companion handhaaft nog geen geldigheidsvenster. Een toekomstige fix voegt een vervaltijd toe.
Niet-geverifieerde aanvaller in LAN-modus	Verzacht	WebSocket-paarhandshake valideert de code; HMAC + AES-poort elke volgende opdracht.
Gecompromitteerde telefoon met gestolen koppelingssleutel	Resterend	Niet te onderscheiden van ‘de gebruiker zelf’. Beperking: snelheidslimiet (10 cmd/min) + bevestiging van destructieve opdracht vereist klikken op de pc.
Verkeerd getypte opdracht uit de telefoonapp	Verzacht	De toestemmingslijst aan de telefoonkant blokkeert onbekende voorvoegsels; de voorafgaande controle aan de Companion-kant blokkeert opdrachten gericht op niet-bestaande services.
Destructieve opdracht wordt per ongeluk uitgevoerd	Verzacht	Een venster aan de Companion-kant vraagt een klik van de gebruiker om Remove-Item, Format-Volume, reg delete, shutdown /r enz. goed te keuren.
Vastgelopen/op hol geslagen PowerShell-proces	Verzacht	Elke opdracht heeft een tijdslimiet — standaard 5 minuten, 45 voor een langlopende reparatie, 60 op het harde plafond — en de hele procesboom wordt beëindigd.
Companion Er wordt geknoeid met .exe tussen downloaden en uitvoeren	Verzacht	SHA-256 gepubliceerd in companion-version.json; gebruikers kunnen die controleren. Authenticode-ondertekening staat gepland vóór de lancering.
Companion crash lekt gevoelige status	Verzacht	Crashrapporten + terugschrijven van Firestore-fouten wordt opgeschoond %USERPROFILE% / %MACHINE% / %USER%.
Gestolen apparaat, registratiesleutel blijft bestaan	Verzacht	De persistente koppelingscode is gecodeerd met Windows DPAPI (per account), zodat deze niet kan worden gelezen vanaf een gekopieerde schijf of een ander Windows-account.

Buiten bereik

Zaken waartegen WindowsHelper uitdrukkelijk geen bescherming biedt:

• Gehackt Windows-account de metgezel runnen. We gaan ervan uit dat de pc van de gebruiker van hem is. Een aanvaller met beheerder op de pc van de gebruiker heeft al gewonnen.
• Gecompromitteerde binaire telefoonapp. We ondertekenen geen Android/iOS-builds tegen manipulatie die verder gaan dan wat de app store van het platform biedt.
• Tegenstanders op staatsniveau met de middelen om Googles Firestore of de certificaatautoriteiten achter HTTPS te ondermijnen. Dit product richt zich op dreigingen op consumentenniveau — scriptkiddies, toevallige gluurders, ontevreden huisgenoten — niet op regeringen.
• Zijkanaalaanvallen op AES-GCM via stroom- of EM-analyse. De Companion is geen smartcard.

Openbaarmaking

• E-mail support@windowshelper.app met onderwerp [security].
• Vermeld versienummers, reprostappen, impact en ideale oplossing.
• We streven ernaar binnen 48 uur te antwoorden en de ernst binnen een week te beoordelen. Ernstige problemen krijgen een release buiten de vaste cyclus.
• Openbaarmakingstermijn: 90 dagen vanaf het eerste rapport, of eerder in onderling overleg.
• Er is momenteel geen betaalde bugbounty. We vermelden de verslaggevers in de release-opmerkingen (met toestemming).