Model de securitate

Cum WindowsHelper vă protejează computerul și telefonul, ce criptografie folosim și împotriva ce nu ne apărăm în mod explicit. Ultima actualizare: 2026-04-25.

Ciclul de viață al codului de asociere

Codul de asociere este secret împărtășit din orice altă operațiune cripto derivă. Ciclul de viață complet:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Aleatoriu: coduri generate prin RNG-uri securizate criptografic.
• Alfabet de 32 de caractere × 8 poziții ≈ 1,1 trilioane de combinații. Exclude I/O/0/1 pentru a evita ambiguitatea vizuală, nu semnificația securității - spațiul de cod este suficient de dens încât o fereastră de forță brută de 5 minute cu limite de viteză Firestore este imposibilă.
• Nu ați scris niciodată în Firestore de nicio parte. Numai documentul sesiunii WAITING este transportat pairingCode; odată asociat, codul rămâne exclusiv în memorie.
• Ștergere în memorie la deconectare, reîmperechere sau închidere a aplicației.

Criptografia

AES-256-GCM (confidențialitatea comenzii + integritate)

Fiecare comandă trimisă prin cablu este criptată cu AES-256-GCM, un mod de criptare autentificată.

• Cheie: 256 de biți, derivati ca SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Niciodată: 96 de biți (12 octeți), generați proaspăt pe mesaj prin Random.secure() la telefon sau RandomNumberGenerator pe tovarăș.
• Eticheta de autentificare: 128 de biți (16 octeți), atașați textului cifrat.
• Format fir: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Siguranța fără reutilizare: Nonce-urile de 96 de biți dintr-un CSPRNG oferă o probabilitate de coliziune paradoxală de ziua de naștere de ~2⁻³² după 2⁴⁸ mesaje - astronomic inaccesibil pentru orice volum de comandă plauzibil.

HMAC-SHA256 (autenticitatea comenzii)

Fiecare comandă poartă, de asemenea, o semnătură HMAC, astfel încât un telefon care nu cunoaște codul de asociere nu poate injecta comenzi chiar dacă poate scrie în Firestore.

• Cheie: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Separați de cheia de criptare.
• Domeniul de aplicare: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Tuburile sunt caractere pipe literale, nu delimitatori - trei șiruri de caractere concatenate.
• Ordin de verificare: HMAC verificat înainte decriptare. Mesajele falsificate risipesc zero cicluri CPU pe primitive criptografice.

Model de amenințare

Amenințare	Stare	Note
Ascultător în rețeaua locală	Atenuat	Textul cifrat AES-GCM este opac pentru observatorii MITM.
Eavesdropper pe serverele Firestore	Atenuat	Google sees AESGCM:... blobs, not commands.
Atacant care poate scrie în Firestore, dar nu cunoaște codul	Atenuat	Verificarea HMAC eșuează; Companion înregistrează respingerea + refuză execuția.
Atacatorul care a spart / phishing codul de asociere	Reziduale	Ei pot lansa comenzi ca și cum ar fi utilizatorul. Atenuare: rotiți codul din meniul tavă.
Reluarea unei comenzi înregistrate	Reziduale	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Atacator neautentificat în modul LAN	Atenuat	WebSocket pair handshake validează codul; HMAC + AES poartă fiecare comandă ulterioară.
Telefon compromis cu cheie de asociere furată	Reziduale	Nu se distinge de „utilizatorul însuși”. Atenuare: limita de viteză (10 cmd/min) + confirmarea comenzii distructive necesită clic pe partea PC.
Comanda greșită din aplicația pentru telefon	Atenuat	Lista de permisiuni pe partea de telefon blochează prefixele nerecunoscute; Comenzile de blocare înainte de zbor din partea companiei care vizează servicii inexistente.
Comanda distructivă executată accidental	Atenuat	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Proces PowerShell suspendat / fugitiv	Atenuat	Timpul de expirare greu de 5 minute ucide întregul arbore al procesului.
Companion Modificare .exe între descărcare și rulare	Atenuat	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion stare sensibilă la scurgere de accident	Atenuat	Rapoartele de avarie + rescrierea erorilor Firestore se igienizează %USERPROFILE% / %MACHINE% / %USER%.
Dispozitiv furat, cheie de asociere de registry persistată	Reziduale	Un atacator cu acces la disc + logare ar putea citi codul persistent. Remedierea viitoare o înglobează cu Windows DPAPI.

În afara domeniului de aplicare

Lucruri pe care WindowsHelper le face în mod explicit nu apara impotriva:

• Cont Windows compromis alergând însoțitorul. Presupunem că computerul utilizatorului este al lor. Un atacator cu administrator pe computerul utilizatorului a câștigat deja.
• Binar al aplicației pentru telefon compromis. Nu semnăm versiuni Android/iOS împotriva falsificării dincolo de ceea ce oferă magazinul de aplicații al platformei.
• Adversari la nivel de stat cu resursele necesare pentru a submina PKI-ul Google Firestore sau DigiCert. Acest produs vizează amenințările de gradul consumatorilor - copii cu scenarii, snoopers ocazionali, membri nemulțumiți ai gospodăriei - nu guverne.
• Atacurile pe canale laterale pe AES-GCM prin analiza de putere / EM. Companionul nu este un smartcard.

Dezvăluire

• E-mail support@windowshelper.app cu subiect [security].
• Vă rugăm să includeți numerele de versiune, pașii de reproducere, impactul și soluția ideală.
• Primul răspuns în 48 de ore. Severitatea triată într-o săptămână. Problemele de mare severitate obțin o eliberare în afara ciclului.
• Fereastra de dezvăluire: 90 de zile de la raportul inițial sau mai devreme de comun acord.
• În prezent, nicio recompensă pentru erori plătită – noi raportorii credităm în notele de lansare (cu permisiune).