Modelo de segurança

Como WindowsHelper protege seu PC e seu telefone, qual criptografia usamos e contra o que explicitamente não nos defendemos. Última atualização: 25/04/2026.

Ciclo de vida do código de emparelhamento

O código de emparelhamento é o segredo compartilhado todas as outras operações criptográficas derivam. O ciclo de vida completo:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Aleatório: códigos gerados por meio de RNGs criptograficamente seguros.
• Alfabeto de 32 caracteres × 8 posições ≈ 1,1 trilhão de combinações. Exclui I/O/0/1 para evitar ambiguidade visual, e não importância de segurança — o espaço de código é denso o suficiente para que uma janela de força bruta de 5 minutos com limites de taxa do Firestore seja inviável.
• Nunca escrevi para o Firestore por nenhum dos lados. Somente o documento da sessão WAITING carrega pairingCode; uma vez emparelhado, o código permanece exclusivamente na memória.
• Limpeza na memória ao desconectar, emparelhar novamente ou fechar o aplicativo.

Criptografia

AES-256-GCM (confidencialidade de comando + integridade)

Cada comando enviado pela rede é criptografado com AES-256-GCM, um modo de criptografia autenticada.

• Chave: 256 bits, derivados como SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bits (12 bytes), gerados recentemente por mensagem via Random.secure() por telefone ou RandomNumberGenerator no companheiro.
• Etiqueta de autenticação: 128 bits (16 bytes), anexados ao texto cifrado.
• Formato do fio: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Segurança sem reutilização: Nonces de 96 bits de um CSPRNG fornecem uma probabilidade de colisão de paradoxo de aniversário de ~2⁻³² após 2⁴⁸ mensagens - astronomicamente fora do alcance de qualquer volume de comando plausível.

HMAC-SHA256 (autenticidade de comando)

Cada comando também carrega uma assinatura HMAC para que um telefone que não conheça o código de emparelhamento não possa injetar comandos, mesmo que possa gravar no Firestore.

• Chave: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Separado da chave de criptografia.
• Escopo de campo: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). As barras verticais são caracteres verticais literais, não delimitadores – três strings concatenadas.
• Ordem de verificação: HMAC verificado antes descriptografia. Mensagens forjadas não desperdiçam nenhum ciclo de CPU em primitivas criptográficas.

Modelo de ameaça

Ameaça	Estado	Notas
Bisbilhoteiro na rede local	Mitigado	O texto cifrado AES-GCM é opaco para observadores MITM.
Bisbilhoteiro em servidores Firestore	Mitigado	Google sees AESGCM:... blobs, not commands.
Invasor que pode gravar no Firestore, mas não conhece o código	Mitigado	A verificação HMAC falha; companheiro registra a rejeição + recusa a execução.
Atacante que decifrou/phishing o código de emparelhamento	Residual	Eles podem emitir comandos como se fossem o usuário. Mitigação: gire o código no menu da bandeja.
Repetição de um comando gravado	Residual	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Atacante não autenticado no modo LAN	Mitigado	O handshake do par WebSocket valida o código; HMAC + AES bloqueia todos os comandos subsequentes.
Telefone comprometido com chave de emparelhamento roubada	Residual	Indistinguível do "próprio usuário". Mitigação: limite de taxa (10 cmd/min) + confirmação do comando destrutivo requer clique no PC.
Comando digitado incorretamente no aplicativo do telefone	Mitigado	A lista de permissões do lado do telefone bloqueia prefixos não reconhecidos; O pré-voo do lado complementar bloqueia comandos direcionados a serviços inexistentes.
Comando destrutivo executado acidentalmente	Mitigado	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Processo do PowerShell travado/descontrolado	Mitigado	O tempo limite de 5 minutos mata toda a árvore do processo.
Companion adulteração de .exe entre download e execução	Mitigado	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion falha vazando estado confidencial	Mitigado	Relatórios de falhas + writebacks de erros do Firestore são limpos %USERPROFILE% / %MACHINE% / %USER%.
Dispositivo roubado, chave de emparelhamento de registro persistente	Mitigado	O código de emparelhamento persistente é criptografado com Windows DPAPI (por conta), portanto, não pode ser lido de um disco copiado ou de uma conta Windows diferente.

Fora do escopo

Coisas que WindowsHelper faz explicitamente não defender contra:

• Conta Windows comprometida executando o companheiro. Presumimos que o PC do usuário é dele. Um invasor com administrador no PC do usuário já venceu.
• Binário de aplicativo de telefone comprometido. Não assinamos compilações Android/iOS contra adulterações além do que a loja de aplicativos da plataforma fornece.
• Adversários em nível estadual com os recursos para subverter o Firestore do Google ou o PKI da DigiCert. Este produto tem como alvo ameaças de consumo – script kiddies, bisbilhoteiros casuais, membros da família descontentes – e não governos.
• Ataques de canal lateral em AES-GCM via análise de potência/EM. O companheiro não é um cartão inteligente.

Divulgação

• E-mail support@windowshelper.app com assunto [security].
• Inclua números de versão, etapas de reprodução, impacto e correção ideal.
• Primeira resposta em 48 horas. Gravidade triada dentro de uma semana. Problemas de alta gravidade são liberados fora do ciclo.
• Período de divulgação: 90 dias a partir do relatório inicial, ou antes por acordo mútuo.
• Nenhuma recompensa paga por bugs atualmente – damos crédito aos repórteres nas notas de lançamento (com permissão).