Model de securitate

Cum WindowsHelper vă protejează computerul și telefonul, ce criptografie folosim și împotriva ce nu ne apărăm în mod explicit. Ultima actualizare: 2026-04-25.

Ciclul de viață al codului de asociere

Codul de asociere este secretul partajat din care derivă orice altă operațiune cripto. Ciclul de viață complet:

[ Telefonul GENEREAZĂ un cod aleatoriu de 8 caractere ]
   ↓
[ Telefonul SCRIE codul + sessionId în Firestore, în documentul pc_connections ]
   ↓
[ Telefonul AFIȘEAZĂ codul utilizatorului pe ecran ]
   ↓
[ Utilizatorul CITEȘTE codul și îl tastează în câmpul Companion ]
   ↓
[ Companion CAUTĂ în Firestore sesiunea în așteptare care se potrivește cu codul ]
   ↓
[ Ambele părți DERIVĂ cheile criptografice din SHA-256(cod, sessionId) ]
   ↓
[ Codul RĂMÂNE în memorie de ambele părți; niciuna nu îl scrie în Firestore ]
   ↓
[ Deconectarea / reasocierea ȘTERGE codul de ambele părți ]

• Aleatoriu: coduri generate prin RNG-uri securizate criptografic.
• Alfabet de 30 de caractere × 8 poziții ≈ 656 de miliarde de combinații. Exclude I, L, O, Z, 0 și 1 pentru a evita confuzia vizuală, nu din motive de securitate — spațiul de coduri este suficient de dens încât o fereastră de forță brută de 10 minute, cu limitele de rată ale Firestore, să fie irealizabilă.
• Păstrat criptat pe acest PC. Companion salvează codul în registrul contului tău Windows, criptat cu DPAPI, ca să se poată reconecta după o repornire.
• Șters când te deconectezi și ștergi sesiunea, schimbi codul sau dezinstalezi. Închiderea aplicației îl păstrează, ca Companion să se poată reconecta.

Criptografia

AES-256-GCM (confidențialitatea comenzii + integritate)

Fiecare comandă trimisă prin cablu este criptată cu AES-256-GCM, un mod de criptare autentificată.

• Cheie: 256 de biți, derivati ca SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 de biți (12 octeți), generați proaspăt pe mesaj prin Random.secure() la telefon sau RandomNumberGenerator pe partea Companion.
• Eticheta de autentificare: 128 de biți (16 octeți), atașați textului cifrat.
• Format fir: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Siguranța împotriva reutilizării nonce-ului: nonce-urile de 96 de biți dintr-un CSPRNG mențin probabilitatea de coliziune conform paradoxului zilei de naștere la aproximativ 2⁻³² pe parcursul a 2³² de mesaje cu aceeași cheie de sesiune — limita standard pentru nonce-uri GCM aleatorii și cu mult peste orice volum de comenzi plauzibil.

HMAC-SHA256 (autenticitatea comenzii)

Fiecare comandă poartă, de asemenea, o semnătură HMAC, astfel încât un telefon care nu cunoaște codul de asociere nu poate injecta comenzi chiar dacă poate scrie în Firestore.

• Cheie: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Separați de cheia de criptare.
• Domeniul de aplicare: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Tuburile sunt caractere pipe literale, nu delimitatori - trei șiruri de caractere concatenate.
• Ordinea verificării: HMAC este verificat înainte de decriptare. Mesajele falsificate nu irosesc niciun ciclu de procesor pe operațiuni criptografice.

Model de amenințare

Amenințare	Stare	Note
Ascultător în rețeaua locală	Atenuat	Textul cifrat AES-GCM este opac pentru observatorii MITM.
Eavesdropper pe serverele Firestore	Atenuat	Google vede blocuri AESGCM:..., nu comenzi.
Atacant care poate scrie în Firestore, dar nu cunoaște codul	Atenuat	Verificarea HMAC eșuează; Companion înregistrează respingerea și refuză execuția.
Atacatorul care a spart / phishing codul de asociere	Reziduale	Ei pot lansa comenzi ca și cum ar fi utilizatorul. Atenuare: rotiți codul din meniul tavă.
Reluarea unei comenzi înregistrate	Reziduale	sentAtMillis este legat de HMAC; Companion nu impune încă o fereastră de valabilitate. O remediere viitoare va adăuga un termen de valabilitate.
Atacator neautentificat în modul LAN	Atenuat	WebSocket pair handshake validează codul; HMAC + AES poartă fiecare comandă ulterioară.
Telefon compromis cu cheie de asociere furată	Reziduale	Nu se distinge de „utilizatorul însuși”. Atenuare: limita de viteză (10 cmd/min) + confirmarea comenzii distructive necesită clic pe partea PC.
Comanda greșită din aplicația pentru telefon	Atenuat	Lista de permisiuni de pe telefon blochează prefixele necunoscute; verificarea prealabilă din partea Companion blochează comenzile îndreptate către servicii inexistente.
Comanda distructivă executată accidental	Atenuat	O fereastră pe partea Companion cere un clic al utilizatorului pentru a aproba Remove-Item, Format-Volume, reg delete, shutdown /r etc.
Proces PowerShell suspendat / fugitiv	Atenuat	Fiecare comandă are o limită de timp — 5 minute implicit, 45 pentru o reparație lungă, 60 la plafonul dur — și se oprește tot arborele de procese.
Companion Modificare .exe între descărcare și rulare	Atenuat	SHA-256 publicat în companion-version.json; utilizatorii îl pot verifica. Semnarea Authenticode este planificată înainte de lansare.
Companion stare sensibilă la scurgere de accident	Atenuat	Rapoartele de avarie + rescrierea erorilor Firestore se igienizează %USERPROFILE% / %MACHINE% / %USER%.
Dispozitiv furat, cheie de asociere de registry persistată	Atenuat	Codul de asociere persistent este criptat cu Windows DPAPI (per-cont), deci nu poate fi citit de pe un disc copiat sau de pe un alt cont Windows.

În afara domeniului de aplicare

Lucruri împotriva cărora WindowsHelper nu protejează în mod explicit:

• Cont Windows compromis alergând însoțitorul. Presupunem că computerul utilizatorului este al lor. Un atacator cu administrator pe computerul utilizatorului a câștigat deja.
• Binar al aplicației pentru telefon compromis. Nu semnăm versiuni Android/iOS împotriva falsificării dincolo de ceea ce oferă magazinul de aplicații al platformei.
• Adversari la nivel de stat cu resursele necesare pentru a compromite Firestore de la Google sau autoritățile de certificare pe care se sprijină HTTPS. Acest produs vizează amenințări de nivel casnic — hackeri începători, curioși ocazionali, membri nemulțumiți ai familiei — nu guverne.
• Atacuri prin canal lateral asupra AES-GCM prin analiza consumului sau electromagnetică. Companion nu este un card inteligent.

Dezvăluire

• E-mail support@windowshelper.app cu subiect [security].
• Vă rugăm să includeți numerele de versiune, pașii de reproducere, impactul și soluția ideală.
• Ne propunem să răspundem în 48 de ore și să evaluăm gravitatea într-o săptămână. Problemele grave primesc o versiune în afara ciclului obișnuit.
• Fereastra de dezvăluire: 90 de zile de la raportul inițial sau mai devreme de comun acord.
• În prezent, nicio recompensă pentru erori plătită – noi raportorii credităm în notele de lansare (cu permisiune).