← Назад на WindowsHelper

Сигурносни модел

Како WindowsHelper штити ваш рачунар + ваш телефон, коју криптографију користимо и од чега се изричито не бранимо. Последње ажурирано: 25.04.2026.

пријављивање рањивости

Е-пошта support@windowshelper.app са субјектом [security]. Молимо вас да не отварате јавне проблеме са GitHub-ом – дајте нам прозор да пошаљемо исправку пре откривања.

Животни циклус кода за упаривање

Код за упаривање је заједничка тајна из које произилази свака друга крипто операција. Цео животни циклус:

[ Телефон ПРАВИ насумичан код од 8 знакова ]
   ↓
[ Телефон УПИСУЈЕ код + sessionId у Firestore, у документ pc_connections ]
   ↓
[ Телефон ПРИКАЗУЈЕ код кориснику на екрану ]
   ↓
[ Корисник ЧИТА код и уноси га у поље програма Companion ]
   ↓
[ Companion ТРАЖИ у Firestore сесију на чекању која одговара коду ]
   ↓
[ Обе стране ИЗВОДЕ кључеве шифровања из SHA-256(код, sessionId) ]
   ↓
[ Код ОСТАЈЕ у меморији на обе стране; ниједна га не уписује у Firestore ]
   ↓
[ Прекид везе / поновно упаривање БРИШЕ код са обе стране ]

насумично: кодови генерисани преко криптографски безбедних РНГ-ова.
Азбука од 30 знакова × 8 позиција ≈ 656 милијарди комбинација. Изоставља I, L, O, Z, 0 и 1 да би се избегла визуелна забуна, не из безбедносних разлога — простор кодова довољно је густ да десетоминутни прозор за напад грубом силом, уз Firestore ограничења брзине, буде неизводљив.
Чува се шифрован на овом рачунару. Companion чува код у регистру вашег Windows налога, шифрован помоћу DPAPI, да би могао поново да се повеже после поновног покретања.
Брише се када прекинете везу и очистите сесију, промените код или деинсталирате. Затварање апликације га задржава, да би Companion могао поново да се повеже.

Криптографија

AES-256-GCM (поверљивост команде + интегритет)

Свака команда послата преко жице је шифрована помоћу AES-256-GCM, режима шифровања са аутентификацијом.

Кључ: 256 бита, изведено као SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 бита (12 бајтова), генерисано свеже по поруци путем Random.secure() на телефон или RandomNumberGenerator на страни Companion.
Auth tag: 128 бита (16 бајтова), додато шифрованом тексту.
Формат жице: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Безбедност од поновне употребе nonce-а: 96-битни nonce-ови из CSPRNG-а држе вероватноћу судара према парадоксу рођендана на око 2⁻³² током 2³² порука са једним кључем сесије — то је стандардна граница за насумичне GCM nonce-ове и далеко изнад сваког уверљивог броја команди.

HMAC-SHA256 (аутентичност команде)

Свака команда такође носи HMAC потпис, тако да телефон који не зна код за упаривање не може убацити команде чак и ако може да пише у Firestore.

Кључ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одвојите од кључа за шифровање.
Обим поља: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цијеви су буквални знакови цијеви, а не граничници - три спојена низа.
Редослед верификације: HMAC се проверава пре дешифровања. Фалсификоване поруке не троше ниједан циклус процесора на криптографске операције.

Модел претње

Претња	Статус	Напомене
Прислушкивач на локалној мрежи	Ублажено	AES-GCM шифровани текст је непрозиран за MITM посматраче.
Прислушкивач на Firestore серверима	Ублажено	Google види блокове `AESGCM:...`, а не команде.
Нападач који може да пише у Firestore, али не зна код	Ублажено	Провера HMAC не успева; Companion бележи одбијање и одбија извршење.
Нападач који је провалио или фишингом дошао до кода за упаривање	Остатак	Они могу да издају команде као да су корисник. Ублажавање: ротирајте код из менија траке.
Репродукција снимљене команде	Остатак	`sentAtMillis` је везан за HMAC; Companion још не намеће прозор важења. Будућа исправка додаће рок важења.
Нападач без аутентификације у ЛАН режиму	Ублажено	Руковање са WebSocket паром потврђује код; HMAC + AES капија сваку следећу команду.
Компромитован телефон са украденим кључем за упаривање	Остатак	Не разликује се од „самих корисника“. Ублажавање: ограничење брзине (10 команди/мин) + потврда деструктивне команде захтева клик на страни рачунара.
Погрешна команда из апликације за телефон	Ублажено	Листа дозвољених на страни телефона блокира непознате префиксе; претходна провера на страни Companion блокира команде усмерене ка непостојећим услугама.
Деструктивна команда се покреће случајно	Ублажено	Прозор на страни апликације Companion тражи корисников клик да би одобрио `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` и слично.
Закачени / одбегли PowerShell процес	Ублажено	Свака команда има временско ограничење — 5 минута подразумевано, 45 за дуготрајну поправку, 60 на тврдом плафону — и гаси се цело стабло процеса.
Companion .exe мењање између преузимања и покретања	Ублажено	SHA-256 се објављује у `companion-version.json`; корисници могу да га провере. Потписивање помоћу Authenticode планирано је пре покретања.
Companion осетљиво стање цури на пад	Ублажено	Извештаји о рушењу + повратне грешке уписивања Firestore-а се санирају `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Украден уређај, постојани кључ за упаривање регистра	Ублажено	Трајни код за упаривање је шифрован са Windows DPAPI (по налогу), тако да се не може прочитати са копираног диска или другог Windows налога.

Ван делокруга

Ствари од којих WindowsHelper изричито не штити:

Компромитован Windows налог трчање пратиоца. Претпостављамо да је рачунар корисника њихов. Нападач са администратором на рачунару корисника је већ победио.
Компромитована бинарна апликација за телефон. Не потписујемо Android/iOS надградње против неовлашћених промена које превазилазе оно што платформа нуди продавница апликација.
Противници на нивоу држава са ресурсима да пробију Firestore компаније Google или сертификациона тела на којима почива HTTPS. Овај производ циља претње на нивоу обичних корисника — хакере почетнике, случајне њушкале, незадовољне укућане — а не владе.
Напади бочним каналом на AES-GCM путем анализе потрошње или електромагнетног зрачења. Companion није паметна картица.

Откривање

Е-пошта support@windowshelper.app са субјектом [security].
Укључите бројеве верзија, кораке репрограма, утицај и идеалну исправку.
Трудимо се да одговоримо у року од 48 сати и да оценимо озбиљност у року од недељу дана. Озбиљни проблеми добијају ванредно издање.
Рок за обелодањивање: 90 дана од првобитног извештаја, или раније по заједничком договору.
Тренутно нема плаћене награде за грешке — признајемо новинаре у напоменама о издању (уз дозволу).