← Бозгашт ба WindowsHelper

Модели амният

Чӣ гуна WindowsHelper компютери шумо + телефони шуморо муҳофизат мекунад, мо кадом криптографияро истифода мебарем ва аз он чизе ки мо ба таври возеҳ муҳофизат намекунем. Навсозии охирин: 25-04-2026.

гузориш дар бораи осебпазирӣ

Почтаи электронӣ support@windowshelper.app бо мавзуъ [security]. Лутфан масъалаҳои GitHub-ро боз накунед - ба мо равзана диҳед, то пеш аз ифшои ислоҳро ирсол кунем.

Давраи зиндагии рамзи ҷуфтшавӣ

Рамзи ҷуфткунӣ ҳамон сирри муштарак аст, ки ҳамаи амалиёти дигари криптографӣ аз он бармеояд. Давраи пурраи ҳаёт:

[ Телефон коди тасодуфии 8-аломата МЕСОЗАД ]
   ↓
[ Телефон код + sessionId-ро ба Firestore, ба ҳуҷҷати pc_connections МЕНАВИСАД ]
   ↓
[ Телефон кодро дар экран ба корбар НИШОН МЕДИҲАД ]
   ↓
[ Корбар кодро МЕХОНАД ва онро ба майдони Companion ворид мекунад ]
   ↓
[ Companion дар Firestore ҷаласаи интизориро, ки ба код мувофиқ аст, МЕҶӮЯД ]
   ↓
[ Ҳарду тараф калидҳои рамзгузориро аз SHA-256(код, sessionId) МЕГИРАНД ]
   ↓
[ Код дар хотираи ҳарду тараф МЕМОНАД; ҳеҷ кадоме онро ба Firestore наменависад ]
   ↓
[ Қатъи пайваст / ҷуфтсозии дубора кодро аз ҳарду тараф ТОЗА МЕКУНАД ]

Тасодуфӣ: рамзҳои тавлидшуда тавассути RNG-ҳои аз ҷиҳати криптографӣ эмин.
Алифбои 30-аломата × 8 мавқеъ ≈ 656 миллиард омехта. Барои пешгирии омехташавии визуалӣ I, L, O, Z, 0 ва 1 истисно шудаанд — на бо сабабҳои амниятӣ. Фазои рамзҳо ба қадри кофӣ зич аст, ки равзанаи 10-дақиқаии ҳамлаи қувваи дағал бо маҳдудиятҳои суръати Firestore ғайриимкон бошад.
Дар ин компютер рамзгузорӣшуда нигоҳ дошта мешавад. Companion рамзро дар реестри ҳисоби Windows-и шумо, бо DPAPI рамзгузорӣ карда, нигоҳ медорад, то пас аз бозоғозӣ дубора пайваст шавад.
Пок карда мешавад, вақте ки шумо пайвастро қатъ карда, сессияро тоза мекунед, рамзро иваз мекунед ё барномаро нест мекунед. Ҳангоми пӯшидани барнома он боқӣ мемонад, то Companion дубора пайваст шавад.

Криптография

AES-256-GCM (махфияти фармон + якпорчагӣ)

Ҳар фармоне, ки тавассути сим фиристода мешавад, бо AES-256-GCM, реҷаи рамзгузории тасдиқшуда рамзгузорӣ карда мешавад.

Калид: 256 бит, ҳамчун ҳосилшуда SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
Nonce: 96 бит (12 байт), тавассути ҳар як паём нав тавлид шудааст Random.secure() дар телефон ё RandomNumberGenerator дар тарафи Companion.
Теги аутент: 128 бит (16 байт), ки ба матни рамзӣ замима шудааст.
Формати сим: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
Бехатарӣ аз такрор истифода шудани nonce: nonce-ҳои 96-битӣ аз CSPRNG эҳтимоли бархӯрдро мувофиқи парадокси зодрӯз дар ҳудуди 2⁻³² нигоҳ медоранд, дар давоми 2³² паём бо як калиди ҷаласа — ин ҳадди стандартӣ барои nonce-ҳои тасодуфии GCM аст ва аз ҳар ҳаҷми воқеии фармонҳо хеле зиёдтар аст.

HMAC-SHA256 (аслияти фармон)

Ҳар як фармон инчунин имзои HMAC дорад, аз ин рӯ телефоне, ки рамзи ҷуфткуниро намедонад, наметавонад фармонҳоро ворид кунад, ҳатто агар он метавонад ба Firestore нависад.

Калид: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Аз калиди рамзгузорӣ ҷудо кунед.
Доираи майдон: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Қубурҳо аломатҳои лӯлаи аслӣ мебошанд, на ҷудокунанда - се сатри пайвастшуда.
Тартиби санҷиш: HMAC пеш аз рамзкушоӣ санҷида мешавад. Паёмҳои қалбакӣ барои амалиёти криптографӣ ҳатто як давраи протсессорро сарф намекунанд.

Модели таҳдид

Таҳдид	Статус	Қайдҳо
Гӯшкунанда дар шабакаи маҳаллӣ	Кам карда шудааст	Матни рамзгузории AES-GCM барои нозирони MITM ношаффоф аст.
Гӯшкунанда дар серверҳои Firestore	Кам карда шудааст	Google блокҳои `AESGCM:...`-ро мебинад, на фармонҳоро.
Ҳамлагар, ки метавонад ба Firestore нависад, аммо кодро намедонад	Кам карда шудааст	Тафтиши HMAC ноком мешавад; Companion радшавиро сабт мекунад ва иҷрои онро рад мекунад.
Ҳамлагар, ки рамзи ҷуфткуниро шикаста/фишинг кардааст	Боқимонда	Онҳо метавонанд фармонҳоро диҳанд, ки гӯё корбар бошанд. Муайянкунӣ: рамзро аз менюи табақа гардонед.
Навозиши фармони сабтшуда	Боқимонда	`sentAtMillis` ба HMAC баста шудааст; Companion ҳанӯз тирезаи эътиборро талаб намекунад. Ислоҳи оянда мӯҳлати эътибор илова мекунад.
Ҳамлагари номаълуми ҳолати LAN	Кам карда шудааст	Дастфишори ҷуфти WebSocket рамзро тасдиқ мекунад; Дарвозаи HMAC + AES ҳар як фармони минбаъда.
Телефони вайроншуда бо калиди ҷуфткунии дуздидашуда	Боқимонда	Аз "худи корбар" фарқ кардан мумкин нест. Муайянкунӣ: маҳдудияти суръат (10 смд/дақ) + тасдиқи фармони харобиовар клики паҳлӯи компютерро талаб мекунад.
Фармони хато аз барномаи телефон	Кам карда шудааст	Рӯйхати иҷозат дар тарафи телефон пешвандҳои ношиносро бозмедорад; тафтиши пешакӣ дар тарафи Companion фармонҳоеро, ки ба хидматҳои мавҷуднабуда нигаронида шудаанд, бозмедорад.
Фармони харобиовар тасодуфан иҷро мешавад	Кам карда шудааст	Тирезаи тарафи Companion барои тасдиқи `Remove-Item`, `Format-Volume`, `reg delete`, `shutdown /r` ва монанди инҳо зеркунии корбарро талаб мекунад.
Раванди PowerShell овезон / гурез	Кам карда шудааст	Ҳар фармон маҳдудияти вақт дорад — ба таври пешфарз 5 дақиқа, барои ислоҳи тӯлонӣ 45, дар шифти сахт 60 — ва тамоми дарахти равандҳо қатъ карда мешавад.
Companion вайронкунии .exe байни зеркашӣ ва иҷро	Кам карда шудааст	SHA-256 дар `companion-version.json` нашр мешавад; корбарон метавонанд онро санҷанд. Имзои Authenticode то оғози фаъолият ба нақша гирифта шудааст.
Companion суқути ихроҷи ҳолати ҳассос	Кам карда шудааст	Ҳисоботи садама + Навиштани хатогиҳои Firestore безарар мегардонад `%USERPROFILE%` / `%MACHINE%` / `%USER%`.
Дастгоҳи дуздидашуда, калиди пайвастагии реестр	Кам карда шудааст	Рамзи пайвастагии доимӣ бо Windows DPAPI (ҳар ҳисоб) рамзгузорӣ шудааст, бинобар ин онро аз диски нусхабардорӣ ё ҳисоби дигари Windows хондан мумкин нест.

Аз доираи

Он чизҳое, ки WindowsHelper ба таври возеҳ аз онҳо ҳифз намекунад:

Ҳисоби Windows вайрон карда шуд ҳамроҳро иҷро мекунад. Мо фарз мекунем, ки компютери корбар аз они онҳост. Ҳамлагар бо администратор дар компютери корбар аллакай ғолиб шудааст.
Барномаи телефонии вайроншуда. Мо ба сохтани Android/iOS бар зидди таҳқир берун аз он чизе, ки мағозаи барномаҳои платформа пешниҳод мекунад, имзо намекунем.
Рақибони сатҳи давлатӣ — онҳое, ки барои шикастани Firestore-и Google ё марказҳои сертификатсия, ки HTTPS ба онҳо такя дорад, захира доранд. Ин маҳсулот барои таҳдидҳои сатҳи корбари оддӣ пешбинӣ шудааст — ҳакерҳои навкор, кунҷковони тасодуфӣ, аъзои норозии хонавода — на барои ҳукуматҳо.
Ҳамлаҳои канали ҷонибӣ ба AES-GCM тавассути таҳлили қувва ё электромагнитӣ. Companion корти ҳушманд нест.

Ифшои

Почтаи электронӣ support@windowshelper.app бо мавзуъ [security].
Лутфан рақамҳои версия, қадамҳои такрорӣ, таъсир ва ислоҳи идеалиро дохил кунед.
Мо кӯшиш мекунем, ки дар давоми 48 соат ҷавоб диҳем ва дар давоми як ҳафта ҷиддияти масъаларо арзёбӣ кунем. Масъалаҳои ҷиддӣ нашри ғайринавбатӣ мегиранд.
Равзанаи ифшо: 90 рӯз аз гузориши аввалия ё қабл аз он бо мувофиқаи тарафайн.
Дар айни замон мукофоти пардохтшудаи хатогӣ нест - мо ба хабарнигорон дар қайдҳои нашр (бо иҷозат) қарз медиҳем.