Bezpečnostný model

Ako WindowsHelper chráni váš počítač + váš telefón, akú kryptografiu používame a proti čomu sa výslovne nebránime. Posledná aktualizácia: 25.04.2026.

Životný cyklus párovacieho kódu

Párovací kód je zdieľané tajomstvo, z ktorého vychádza každá ďalšia krypto operácia. Celý životný cyklus:

[ Telefón VYTVORÍ náhodný osemznakový kód ]
   ↓
[ Telefón ZAPÍŠE kód + sessionId do Firestore v dokumente pc_connections ]
   ↓
[ Telefón ZOBRAZÍ kód používateľovi na obrazovke ]
   ↓
[ Používateľ PREČÍTA kód a zadá ho do poľa v Companione ]
   ↓
[ Companion VYHĽADÁ vo Firestore čakajúcu reláciu zodpovedajúcu kódu ]
   ↓
[ Obe strany ODVODIA šifrovacie kľúče z SHA-256(kód, sessionId) ]
   ↓
[ Kód ZOSTÁVA v pamäti na oboch stranách; ani jedna ho nezapíše do Firestore ]
   ↓
[ Odpojenie / nové spárovanie VYMAŽE kód na oboch stranách ]

• Náhodné: kódy generované prostredníctvom kryptograficky bezpečných RNG.
• Abeceda s 30 znakmi × 8 pozícií ≈ 656 miliárd kombinácií. Vynecháva I, L, O, Z, 0 a 1 kvôli vizuálnej zámene, nie z bezpečnostných dôvodov — priestor kódov je dosť hustý na to, aby desaťminútové okno na útok hrubou silou bolo pri limitoch frekvencie Firestore neuskutočniteľné.
• Uložený šifrovane v tomto počítači. Companion ukladá kód do registra vášho konta Windows, šifrovaný pomocou DPAPI, aby sa po reštarte mohol znova pripojiť.
• Zmaže sa, keď sa odpojíte a vymažete reláciu, zmeníte kód alebo odinštalujete. Zatvorenie aplikácie ho ponechá, aby sa Companion mohol znova pripojiť.

Kryptografia

AES-256-GCM (dôvernosť príkazu + integrita)

Každý príkaz odoslaný po drôte je šifrovaný pomocou AES-256-GCM, režimu overeného šifrovania.

• kľúč: 256 bitov, odvodených ako SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 bitov (12 bajtov), vygenerovaných čerstvo prostredníctvom správy Random.secure() na telefóne resp RandomNumberGenerator na strane Companion.
• Auth tag: 128 bitov (16 bajtov), pripojených k šifrovému textu.
• Formát drôtu: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Bezpečnosť proti opätovnému použitiu nonce: 96-bitové nonce z CSPRNG udržia pravdepodobnosť kolízie podľa narodeninového paradoxu na približne 2⁻³² počas 2³² správ s jedným kľúčom relácie — to je štandardný limit pre náhodné GCM nonce a ďaleko nad akýmkoľvek hodnoverným objemom príkazov.

HMAC-SHA256 (pravosť príkazu)

Každý príkaz tiež nesie podpis HMAC, takže telefón, ktorý nepozná párovací kód, nemôže vkladať príkazy, aj keď môže zapisovať do Firestore.

• kľúč: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Oddelené od šifrovacieho kľúča.
• Rozsah poľa: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Zvislé čiary sú doslovné znaky zvislej čiary, nie oddeľovače – tri zreťazené reťazce.
• Poradie overenia: HMAC sa overuje pred dešifrovaním. Falošné správy nespotrebujú ani jeden cyklus procesora na kryptografické operácie.

Model ohrozenia

Hrozba	Stav	Poznámky
Odpočúvanie v lokálnej sieti	Zmiernené	Šifrový text AES-GCM je pre pozorovateľov MITM nepriehľadný.
Odpočúvanie na serveroch Firestore	Zmiernené	Google vidí bloky AESGCM:..., nie príkazy.
Útočník, ktorý môže písať do Firestore, ale nepozná kód	Zmiernené	Overenie HMAC zlyhá; Companion zaznamená odmietnutie a odmietne vykonanie.
Útočník, ktorý prelomil / phishingom párovací kód	Reziduálny	Môžu zadávať príkazy, ako keby boli používateľom. Zmiernenie: otočte kód z ponuky zásobníka.
Prehratie nahraného príkazu	Reziduálny	sentAtMillis je viazaný na HMAC; Companion zatiaľ nevynucuje okno platnosti. Budúca oprava pridá dobu platnosti.
Neoverený útočník v režime LAN	Zmiernené	Párové handshake WebSocket overí kód; HMAC + AES brána každý nasledujúci príkaz.
Kompromitovaný telefón s ukradnutým párovacím kľúčom	Reziduálny	Na nerozoznanie od „samotného používateľa“. Zmiernenie: obmedzenie rýchlosti (10 cmd/min) + potvrdenie deštruktívneho príkazu vyžaduje kliknutie na strane počítača.
Nesprávne zadaný príkaz z aplikácie telefónu	Zmiernené	Zoznam povolených na strane telefónu blokuje neznáme predpony; predbežná kontrola na strane Companion blokuje príkazy mieriace na neexistujúce služby.
Neúmyselné spustenie deštruktívneho príkazu	Zmiernené	Okno na strane aplikácie Companion vyžaduje kliknutie používateľa na schválenie Remove-Item, Format-Volume, reg delete, shutdown /r a pod.
Zamrznutý/utečený proces PowerShell	Zmiernené	Každý príkaz má časový strop — 5 minút predvolene, 45 pri dlho bežiacej oprave, 60 na tvrdom strope — a ukončí sa celý strom procesov.
Companion Manipulácia s príponou .exe medzi stiahnutím a spustením	Zmiernené	SHA-256 zverejnený v companion-version.json; používatelia si ho môžu overiť. Podpis Authenticode je naplánovaný pred spustením.
Companion stav citlivý na úniky	Zmiernené	Hlásenia o zlyhaní + spätné písanie chýb Firestore dezinfikujú %USERPROFILE% / %MACHINE% / %USER%.
Ukradnuté zariadenie, pretrvávajúci párovací kľúč databázy Registry	Zmiernené	Trvalý párovací kód je šifrovaný pomocou Windows DPAPI (pre každý účet), takže ho nemožno prečítať zo skopírovaného disku alebo iného účtu Windows.

Mimo rozsah

Veci, pred ktorými WindowsHelper výslovne nechráni:

• Napadnutý účet Windows beh spoločníka. Predpokladáme, že počítač používateľa je jeho. Útočník s adminom na PC používateľa už vyhral.
• Ohrozená binárna aplikácia pre telefón. Nepodpisujeme zostavy Android/iOS proti neoprávneným zásahom nad rámec toho, čo poskytuje obchod s aplikáciami platformy.
• Protivníci na úrovni štátov s prostriedkami na prelomenie Firestore od spoločnosti Google alebo certifikačných autorít, na ktorých stojí HTTPS. Tento produkt mieri na hrozby bežných používateľov — začínajúcich hackerov, náhodných sliedičov, nespokojných členov domácnosti — nie na vlády.
• Útoky postrannými kanálmi na AES-GCM pomocou analýzy napájania / EM. Companion nie je čipová karta.

Zverejnenie

• Email support@windowshelper.app s predmetom [security].
• Uveďte čísla verzií, kroky repro, vplyv a ideálnu opravu.
• Snažíme sa odpovedať do 48 hodín a posúdiť závažnosť do týždňa. Závažné problémy dostanú mimoriadne vydanie.
• Termín zverejnenia: 90 dní od prvej správy alebo skôr po vzájomnej dohode.
• Momentálne nie je vyplatená odmena za chyby – v poznámkach k vydaniu pripisujeme zásluhy reportérom (s povolením).