← Powrót do WindowsHelper

Model bezpieczeństwa

W jaki sposób WindowsHelper chroni Twój komputer i telefon, jakiej kryptografii używamy i przed czym wyraźnie się nie bronimy. Ostatnia aktualizacja: 25.04.2026.

zgłaszanie luki

E-mail support@windowshelper.app z tematem [security]. Nie otwieraj publicznych problemów w GitHubie — daj nam czas na przesłanie poprawki przed ujawnieniem.

Cykl życia kodu parowania

Kod parowania to wspólny sekret, z którego wywodzi się każda inna operacja kryptograficzna. Pełny cykl życia:

[ Telefon TWORZY losowy 8-znakowy kod ]
   ↓
[ Telefon ZAPISUJE kod + sessionId w Firestore, w dokumencie pc_connections ]
   ↓
[ Telefon WYŚWIETLA kod użytkownikowi na ekranie ]
   ↓
[ Użytkownik ODCZYTUJE kod i wpisuje go w pole Companiona ]
   ↓
[ Companion WYSZUKUJE w Firestore oczekującą sesję pasującą do kodu ]
   ↓
[ Obie strony WYPROWADZAJĄ klucze szyfrujące z SHA-256(kod, sessionId) ]
   ↓
[ Kod POZOSTAJE w pamięci po obu stronach; żadna nie zapisuje go w Firestore ]
   ↓
[ Rozłączenie / ponowne parowanie USUWA kod po obu stronach ]

Losowe: kody generowane za pośrednictwem kryptograficznie bezpiecznych RNG.
Alfabet 30 znaków × 8 pozycji ≈ 656 miliardów kombinacji. Pomija I, L, O, Z, 0 i 1, aby uniknąć wzrokowej pomyłki, a nie ze względów bezpieczeństwa — przestrzeń kodów jest na tyle gęsta, że dziesięciominutowe okno ataku siłowego przy limitach częstości Firestore jest niewykonalne.
Przechowywany w postaci zaszyfrowanej na tym komputerze. Companion zapisuje kod w rejestrze twojego konta Windows, zaszyfrowany przez DPAPI, aby po ponownym uruchomieniu mógł połączyć się znowu.
Usuwany, gdy rozłączysz się i wyczyścisz sesję, zmienisz kod albo odinstalujesz. Zamknięcie aplikacji go zachowuje, aby Companion mógł połączyć się ponownie.

Kryptografia

AES-256-GCM (poufność poleceń + integralność)

Każde polecenie wysyłane przewodem jest szyfrowane przy użyciu AES-256-GCM, trybu szyfrowania uwierzytelnionego.

Klucz: 256 bitów, wyprowadzone jako SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 bitów (12 bajtów), generowanych świeżo dla każdej wiadomości przez Random.secure() na telefonie lub RandomNumberGenerator po stronie Companion.
Tag autoryzacji: 128 bitów (16 bajtów), dołączonych do tekstu zaszyfrowanego.
Format drutu: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Bezpieczeństwo przed ponownym użyciem nonce: 96-bitowe wartości nonce z CSPRNG utrzymują prawdopodobieństwo kolizji według paradoksu dnia urodzin na poziomie około 2⁻³² w ciągu 2³² wiadomości na jednym kluczu sesji — to standardowy limit dla losowych nonce GCM i znacznie powyżej każdej realnej liczby poleceń.

HMAC-SHA256 (autentyczność poleceń)

Każde polecenie zawiera również podpis HMAC, więc telefon, który nie zna kodu parowania, nie może wstrzykiwać poleceń, nawet jeśli może pisać do Firestore.

Klucz: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Oddzielne od klucza szyfrowania.
Zakres pola: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Potoki to dosłowne znaki potoku, a nie ograniczniki — trzy połączone ciągi.
Kolejność weryfikacji: HMAC jest weryfikowany przed odszyfrowaniem. Sfałszowane wiadomości nie marnują ani jednego cyklu procesora na operacje kryptograficzne.

Model zagrożenia

Zagrożenie	Stan	Notatki
Podsłuchiwacz w sieci lokalnej	Złagodzony	Tekst zaszyfrowany AES-GCM jest nieprzezroczysty dla obserwatorów MITM.
Podsłuchiwacz na serwerach Firestore	Złagodzony	Google widzi bloki `AESGCM:...`, a nie polecenia.
Atakujący, który może pisać do Firestore, ale nie zna kodu	Złagodzony	Weryfikacja HMAC się nie udaje; Companion zapisuje odrzucenie i odmawia wykonania.
Osoba atakująca, która złamała/wyłudziła kod parowania	Pozostały	Mogą wydawać polecenia tak, jakby byli użytkownikiem. Łagodzenie: obróć kod z menu zasobnika.
Powtórka nagranego polecenia	Pozostały	`sentAtMillis` jest powiązany z HMAC; Companion nie wymusza jeszcze okna ważności. Przyszła poprawka doda termin ważności.
Nieuwierzytelniony atakujący w trybie LAN	Złagodzony	Uzgadnianie pary protokołu WebSocket sprawdza poprawność kodu; Bramka HMAC + AES przy każdym kolejnym poleceniu.
Zhakowany telefon ze skradzionym kluczem do parowania	Pozostały	Nie do odróżnienia od „samego użytkownika”. Ograniczanie: limit szybkości (10 cmd/min) + potwierdzenie polecenia niszczącego wymaga kliknięcia po stronie komputera.
Błędnie wpisane polecenie z aplikacji na telefon	Złagodzony	Lista dozwolonych po stronie telefonu blokuje nieznane prefiksy; kontrola wstępna po stronie Companion blokuje polecenia kierowane do nieistniejących usług.
Destrukcyjne polecenie zostało uruchomione przypadkowo	Złagodzony	Okno po stronie aplikacji Companion wymaga kliknięcia użytkownika, aby zatwierdzić `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` itp.
Zawieszony/niekontrolowany proces PowerShell	Złagodzony	Każde polecenie ma limit czasu — domyślnie 5 minut, 45 dla długiej naprawy, 60 przy twardym suficie — i kończone jest całe drzewo procesów.
Companion Manipulowanie plikiem .exe pomiędzy pobieraniem i uruchamianiem	Złagodzony	SHA-256 publikowany w `companion-version.json`; użytkownicy mogą go sprawdzić. Podpis Authenticode jest zaplanowany przed premierą.
Companion awaria, wyciek, stan wrażliwy	Złagodzony	Raporty o awariach + zapisywanie zwrotne błędów Firestore oczyszczają `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Skradzione urządzenie, zachowany klucz parowania rejestru	Złagodzony	Utrwalony kod parowania jest szyfrowany za pomocą Windows DPAPI (na konto), więc nie można go odczytać ze skopiowanego dysku ani innego konta Windows.

Poza zakresem

Rzeczy, przed którymi WindowsHelper wyraźnie nie chroni:

Zhakowane konto Windows prowadzenie towarzysza. Zakładamy, że komputer użytkownika należy do niego. Osoba atakująca mająca uprawnienia administratora na komputerze użytkownika już wygrała.
Zhakowany plik binarny aplikacji telefonicznej. Nie zabezpieczamy kompilacji systemu Android/iOS przed ingerencją wykraczającą poza to, co zapewnia sklep z aplikacjami na platformie.
Przeciwnicy na poziomie państw z zasobami, by złamać Firestore od Google albo urzędy certyfikacji, na których opiera się HTTPS. Ten produkt jest przeznaczony na zagrożenia na poziomie zwykłych użytkowników — początkujących hakerów, przypadkowych podglądaczy, rozżalonych domowników — a nie rządy.
Ataki bocznym kanałem na AES-GCM przez analizę poboru mocy lub emisji elektromagnetycznej. Companion nie jest kartą inteligentną.

Ujawnienie

E-mail support@windowshelper.app z tematem [security].
Podaj numery wersji, kroki odtwarzania, wpływ i idealną poprawkę.
Staramy się odpowiedzieć w ciągu 48 godzin i ocenić wagę problemu w ciągu tygodnia. Poważne problemy dostają wydanie poza zwykłym cyklem.
Okno ujawnienia: 90 dni od pierwszego raportu lub wcześniej za obopólną zgodą.
Obecnie nie ma płatnej nagrody za błąd — w uwagach do wydania (za pozwoleniem) opisujemy reporterów.