Сигурносни модел

Како WindowsHelper штити ваш рачунар + ваш телефон, коју криптографију користимо и од чега се изричито не бранимо. Последње ажурирано: 25.04.2026.

Животни циклус кода за упаривање

Код за упаривање је заједничка тајна свака друга крипто операција произилази из. Цео животни циклус:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• насумично: кодови генерисани преко криптографски безбедних РНГ-ова.
• Абецеда од 32 знака × 8 позиција ≈ 1,1 трилион комбинација. Искључује И/О/0/1 да би се избегла визуелна двосмисленост, а не безбедносни значај — кодни простор је довољно густ да је 5-минутни прозор грубе силе са ограничењима Фиресторе брзине неизводљив.
• Никада није писано у Фиресторе ни са једне стране. Само документ за сесију ВАИТИНГ носи pairingCode; када је упарен, код остаје искључиво у меморији.
• Брисање у меморији приликом прекида везе, поновног упаривања или затварања апликације.

Криптографија

AES-256-GCM (поверљивост команде + интегритет)

Свака команда послата преко жице је шифрована помоћу AES-256-GCM, режима шифровања са аутентификацијом.

• Кључ: 256 бита, изведено као SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 бита (12 бајтова), генерисано свеже по поруци путем Random.secure() на телефон или RandomNumberGenerator на сапутнику.
• Аутх таг: 128 бита (16 бајтова), додато шифрованом тексту.
• Формат жице: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Безбедност за поновну употребу: 96-битни nonces из ЦСПРНГ-а дају вероватноћу колизије парадокс рођендана од ~2⁻³² након 2⁴⁸ порука — астрономски ван домашаја за било који вероватан волумен команде.

HMAC-SHA256 (аутентичност команде)

Свака команда такође носи HMAC потпис, тако да телефон који не зна код за упаривање не може убацити команде чак и ако може да пише у Фиресторе.

• Кључ: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Одвојите од кључа за шифровање.
• Обим поља: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Цијеви су буквални знакови цијеви, а не граничници - три спојена низа.
• Редослед верификације: HMAC верификован пре дешифровање. Фалсификоване поруке троше нула ЦПУ циклуса на криптографске примитиве.

Модел претње

Претња	Статус	Напомене
Прислушкивач на локалној мрежи	Ублажено	AES-GCM шифровани текст је непрозиран за МИТМ посматраче.
Прислушкивач на Фиресторе серверима	Ублажено	Google sees AESGCM:... blobs, not commands.
Нападач који може да пише у Фиресторе, али не зна код	Ублажено	HMAC верификација није успела; пратилац бележи одбијање + одбија извршење.
Нападач који је провалио / пхисхинг код за упаривање	Остатак	Они могу да издају команде као да су корисник. Ублажавање: ротирајте код из менија траке.
Репродукција снимљене команде	Остатак	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Нападач без аутентификације у ЛАН режиму	Ублажено	Руковање са ВебСоцкет паром потврђује код; HMAC + AES капија сваку следећу команду.
Компромитован телефон са украденим кључем за упаривање	Остатак	Не разликује се од „самих корисника“. Ублажавање: ограничење брзине (10 цмд/мин) + потврда деструктивне команде захтева клик на страни рачунара.
Погрешна команда из апликације за телефон	Ублажено	Листа дозвољених на страни телефона блокира непрепознате префиксе; на страни пратиоца блокира команде пре лета које циљају непостојеће услуге.
Деструктивна команда се покреће случајно	Ублажено	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Закачени / одбегли ПоверСхелл процес	Ублажено	Тешко 5-минутно временско ограничење убија цело стабло процеса.
Companion .exe мењање између преузимања и покретања	Ублажено	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion осетљиво стање цури на пад	Ублажено	Извештаји о рушењу + повратне грешке уписивања Фиресторе-а се санирају %USERPROFILE% / %MACHINE% / %USER%.
Украден уређај, постојани кључ за упаривање регистра	Ублажено	Трајни код за упаривање је шифрован са Windows ДПАПИ (по налогу), тако да се не може прочитати са копираног диска или другог Windows налога.

Ван делокруга

Ствари које WindowsHelper експлицитно ради не бранити од:

• Компромитован Windows налог трчање пратиоца. Претпостављамо да је рачунар корисника њихов. Нападач са администратором на рачунару корисника је већ победио.
• Компромитована бинарна апликација за телефон. Не потписујемо Андроид/иОС надградње против неовлашћених промена које превазилазе оно што платформа нуди продавница апликација.
• Противници на државном нивоу са ресурсима да поткопају Гоогле-ов Фиресторе или ДигиЦерт-ов ПКИ. Овај производ циља претње на нивоу потрошача — клинце са скриптама, повремене њушкаре, незадовољне чланове домаћинства — а не владе.
• Напади са стране на AES-GCM преко анализе напајања / ЕМ. Пратилац није паметна картица.

Откривање

• Емаил support@windowshelper.app са субјектом [security].
• Укључите бројеве верзија, кораке репрограма, утицај и идеалну исправку.
• Први одговор у року од 48 сати. Тријажна тежина у року од једне недеље. Проблеми велике озбиљности добијају издање ван циклуса.
• Рок за обелодањивање: 90 дана од првобитног извештаја, или раније по заједничком договору.
• Тренутно нема плаћене награде за грешке — признајемо новинаре у напоменама о издању (уз дозволу).