Сигурносни модел

Како WindowsHelper штити ваш рачунар + ваш телефон, коју криптографију користимо и од чега се изричито не бранимо. Последње ажурирано: 25.04.2026.

Животни циклус кода за упаривање

Код за упаривање је заједничка тајна свака друга крипто операција произилази из. Цео животни циклус:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• насумично: кодови генерисани преко криптографски безбедних РНГ-ова.
• Абецеда од 32 знака × 8 позиција ≈ 1,1 трилион комбинација. Искључује И/О/0/1 да би се избегла визуелна двосмисленост, а не безбедносни значај — кодни простор је довољно густ да је 5-минутни прозор грубе силе са ограничењима Фиресторе брзине неизводљив.
• Никада није писано у Фиресторе ни са једне стране. Само документ за сесију ВАИТИНГ носи pairingCode; када је упарен, код остаје искључиво у меморији.
• Брисање у меморији приликом прекида везе, поновног упаривања или затварања апликације.

Криптографија

АЕС-256-ГЦМ (поверљивост команде + интегритет)

Свака команда послата преко жице је шифрована помоћу АЕС-256-ГЦМ, режима шифровања са аутентификацијом.

• Кључ: 256 бита, изведено као SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Једнократно: 96 бита (12 бајтова), генерисано свеже по поруци путем Random.secure() на телефон или RandomNumberGenerator на сапутнику.
• Аутх таг: 128 бита (16 бајтова), додато шифрованом тексту.
• Формат жице: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безбедност за поновну употребу: 96-битни нонцес из ЦСПРНГ-а дају вероватноћу колизије парадокс рођендана од ~2⁻³² након 2⁴⁸ порука — астрономски ван домашаја за било који вероватан волумен команде.

ХМАЦ-СХА256 (аутентичност команде)

Свака команда такође носи ХМАЦ потпис, тако да телефон који не зна код за упаривање не може убацити команде чак и ако може да пише у Фиресторе.

• Кључ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одвојите од кључа за шифровање.
• Обим поља: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цијеви су буквални знакови цијеви, а не граничници - три спојена низа.
• Редослед верификације: ХМАЦ верификован пре дешифровање. Фалсификоване поруке троше нула ЦПУ циклуса на криптографске примитиве.

Модел претње

Претња	Статус	Напомене
Прислушкивач на локалној мрежи	Ублажено	АЕС-ГЦМ шифровани текст је непрозиран за МИТМ посматраче.
Прислушкивач на Фиресторе серверима	Ублажено	Google sees AESGCM:... blobs, not commands.
Нападач који може да пише у Фиресторе, али не зна код	Ублажено	ХМАЦ верификација није успела; пратилац бележи одбијање + одбија извршење.
Нападач који је провалио / пхисхинг код за упаривање	Остатак	Они могу да издају команде као да су корисник. Ублажавање: ротирајте код из менија траке.
Репродукција снимљене команде	Остатак	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Нападач без аутентификације у ЛАН режиму	Ублажено	Руковање са ВебСоцкет паром потврђује код; ХМАЦ + АЕС капија сваку следећу команду.
Компромитован телефон са украденим кључем за упаривање	Остатак	Не разликује се од „самих корисника“. Ублажавање: ограничење брзине (10 цмд/мин) + потврда деструктивне команде захтева клик на страни рачунара.
Погрешна команда из апликације за телефон	Ублажено	Листа дозвољених на страни телефона блокира непрепознате префиксе; на страни пратиоца блокира команде пре лета које циљају непостојеће услуге.
Деструктивна команда се покреће случајно	Ублажено	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Закачени / одбегли ПоверСхелл процес	Ублажено	Тешко 5-минутно временско ограничење убија цело стабло процеса.
Companion .еке мењање између преузимања и покретања	Ублажено	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion осетљиво стање цури на пад	Ублажено	Извештаји о рушењу + повратне грешке уписивања Фиресторе-а се санирају %USERPROFILE% / %MACHINE% / %USER%.
Украден уређај, постојани кључ за упаривање регистра	Остатак	Нападач са приступом диску + пријављивање могао би да прочита постојећи код. Будућа исправка ће га обавити са Windows ДПАПИ.

Ван делокруга

Ствари које WindowsHelper експлицитно ради не бранити од:

• Компромитован Windows налог трчање пратиоца. Претпостављамо да је рачунар корисника њихов. Нападач са администратором на рачунару корисника је већ победио.
• Компромитована бинарна апликација за телефон. Не потписујемо Андроид/иОС надградње против неовлашћених промена које превазилазе оно што платформа нуди продавница апликација.
• Противници на државном нивоу са ресурсима да поткопају Гоогле-ов Фиресторе или ДигиЦерт-ов ПКИ. Овај производ циља претње на нивоу потрошача — клинце са скриптама, повремене њушкаре, незадовољне чланове домаћинства — а не владе.
• Напади са стране на АЕС-ГЦМ преко анализе напајања / ЕМ. Пратилац није паметна картица.

Откривање

• Емаил support@windowshelper.app са субјектом [security].
• Укључите бројеве верзија, кораке репрограма, утицај и идеалну исправку.
• Први одговор у року од 48 сати. Тријажна тежина у року од једне недеље. Проблеми велике озбиљности добијају издање ван циклуса.
• Рок за обелодањивање: 90 дана од првобитног извештаја, или раније по заједничком договору.
• Тренутно нема плаћене награде за грешке — признајемо новинаре у напоменама о издању (уз дозволу).