Modelo de segurança

Como WindowsHelper protege seu PC e seu telefone, qual criptografia usamos e contra o que explicitamente não nos defendemos. Última atualização: 25/04/2026.

Ciclo de vida do código de emparelhamento

O código de emparelhamento é o segredo compartilhado todas as outras operações criptográficas derivam. O ciclo de vida completo:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Aleatório: códigos gerados por meio de RNGs criptograficamente seguros.
• Alfabeto de 32 caracteres × 8 posições ≈ 1,1 trilhão de combinações. Exclui I/O/0/1 para evitar ambiguidade visual, e não importância de segurança — o espaço de código é denso o suficiente para que uma janela de força bruta de 5 minutos com limites de taxa do Firestore seja inviável.
• Nunca escrevi para o Firestore por nenhum dos lados. Somente o documento da sessão WAITING carrega pairingCode; uma vez emparelhado, o código permanece exclusivamente na memória.
• Limpeza na memória ao desconectar, emparelhar novamente ou fechar o aplicativo.

Criptografia

AES-256-GCM (confidencialidade de comando + integridade)

Cada comando enviado pela rede é criptografado com AES-256-GCM, um modo de criptografia autenticada.

• Chave: 256 bits, derivados como SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nove: 96 bits (12 bytes), gerados recentemente por mensagem via Random.secure() por telefone ou RandomNumberGenerator no companheiro.
• Etiqueta de autenticação: 128 bits (16 bytes), anexados ao texto cifrado.
• Formato do fio: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Segurança sem reutilização: Nonces de 96 bits de um CSPRNG fornecem uma probabilidade de colisão de paradoxo de aniversário de ~2⁻³² após 2⁴⁸ mensagens - astronomicamente fora do alcance de qualquer volume de comando plausível.

HMAC-SHA256 (autenticidade de comando)

Cada comando também carrega uma assinatura HMAC para que um telefone que não conheça o código de emparelhamento não possa injetar comandos, mesmo que possa gravar no Firestore.

• Chave: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Separado da chave de criptografia.
• Escopo de campo: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). As barras verticais são caracteres verticais literais, não delimitadores – três strings concatenadas.
• Ordem de verificação: HMAC verificado antes descriptografia. Mensagens forjadas não desperdiçam nenhum ciclo de CPU em primitivas criptográficas.

Modelo de ameaça

Ameaça	Estado	Notas
Bisbilhoteiro na rede local	Mitigado	O texto cifrado AES-GCM é opaco para observadores MITM.
Bisbilhoteiro em servidores Firestore	Mitigado	Google sees AESGCM:... blobs, not commands.
Invasor que pode gravar no Firestore, mas não conhece o código	Mitigado	A verificação HMAC falha; companheiro registra a rejeição + recusa a execução.
Atacante que decifrou/phishing o código de emparelhamento	Residual	Eles podem emitir comandos como se fossem o usuário. Mitigação: gire o código no menu da bandeja.
Repetição de um comando gravado	Residual	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Atacante não autenticado no modo LAN	Mitigado	O handshake do par WebSocket valida o código; HMAC + AES bloqueia todos os comandos subsequentes.
Telefone comprometido com chave de emparelhamento roubada	Residual	Indistinguível do "próprio usuário". Mitigação: limite de taxa (10 cmd/min) + confirmação do comando destrutivo requer clique no PC.
Comando digitado incorretamente no aplicativo do telefone	Mitigado	A lista de permissões do lado do telefone bloqueia prefixos não reconhecidos; O pré-voo do lado complementar bloqueia comandos direcionados a serviços inexistentes.
Comando destrutivo executado acidentalmente	Mitigado	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Processo do PowerShell travado/descontrolado	Mitigado	O tempo limite de 5 minutos mata toda a árvore do processo.
Companion adulteração de .exe entre download e execução	Mitigado	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion falha vazando estado confidencial	Mitigado	Relatórios de falhas + writebacks de erros do Firestore são limpos %USERPROFILE% / %MACHINE% / %USER%.
Dispositivo roubado, chave de emparelhamento de registro persistente	Residual	Um invasor com acesso ao disco + login poderia ler o código persistido. A correção futura envolve Windows DPAPI.

Fora do escopo

Coisas que WindowsHelper faz explicitamente não defender contra:

• Conta Windows comprometida executando o companheiro. Presumimos que o PC do usuário é dele. Um invasor com administrador no PC do usuário já venceu.
• Binário de aplicativo de telefone comprometido. Não assinamos compilações Android/iOS contra adulterações além do que a loja de aplicativos da plataforma fornece.
• Adversários em nível estadual com os recursos para subverter o Firestore do Google ou o PKI da DigiCert. Este produto tem como alvo ameaças de consumo – script kiddies, bisbilhoteiros casuais, membros da família descontentes – e não governos.
• Ataques de canal lateral em AES-GCM via análise de potência/EM. O companheiro não é um cartão inteligente.

Divulgação

• E-mail support@windowshelper.app com assunto [security].
• Inclua números de versão, etapas de reprodução, impacto e correção ideal.
• Primeira resposta em 48 horas. Gravidade triada dentro de uma semana. Problemas de alta gravidade são liberados fora do ciclo.
• Período de divulgação: 90 dias a partir do relatório inicial, ou antes por acordo mútuo.
• Nenhuma recompensa paga por bugs atualmente – damos crédito aos repórteres nas notas de lançamento (com permissão).