รูปแบบการรักษาความปลอดภัย

วิธีที่ WindowsHelper ปกป้องพีซี + โทรศัพท์ของคุณ การเข้ารหัสที่เราใช้ และสิ่งที่เราไม่ได้ป้องกันอย่างชัดเจน อัปเดตล่าสุด: 2569-04-25

วงจรชีวิตของรหัสการจับคู่

รหัสการจับคู่คือ ความลับที่ใช้ร่วมกัน การดำเนินการเข้ารหัสลับอื่นๆ ทั้งหมดมาจาก วงจรชีวิตทั้งหมด:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• สุ่ม: รหัสที่สร้างผ่าน RNG ที่ปลอดภัยแบบเข้ารหัส
• ตัวอักษร 32 ตัวอักษร × 8 ตำแหน่ง เท่ากับ 1.1 ล้านล้านชุดค่าผสม ไม่รวม I/O/0/1 เพื่อหลีกเลี่ยงความคลุมเครือทางสายตา ไม่ใช่ความสำคัญด้านความปลอดภัย — โค๊ดสเปซมีความหนาแน่นเพียงพอที่จะทำให้หน้าต่าง brute-force ยาว 5 นาทีที่มีการจำกัดอัตรา Firestore นั้นเป็นไปไม่ได้
• ไม่เคยเขียนถึง Firestore โดยฝ่ายใดฝ่ายหนึ่ง มีเฉพาะเอกสารเซสชัน WAITING เท่านั้นที่ดำเนินการ pairingCode; เมื่อจับคู่แล้ว รหัสจะยังคงอยู่ในหน่วยความจำโดยเฉพาะ
• การล้างข้อมูลในหน่วยความจำ เมื่อยกเลิกการเชื่อมต่อ จับคู่ใหม่ หรือปิดแอป

การเข้ารหัส

AES-256-GCM (การรักษาความลับของคำสั่ง + ความสมบูรณ์)

ทุกคำสั่งที่ส่งผ่านสายจะถูกเข้ารหัสด้วย AES-256-GCM ซึ่งเป็นโหมดการเข้ารหัสที่มีการรับรองความถูกต้อง

• คีย์: 256 บิตได้มาในรูปแบบ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• โน๊นซ์: 96 บิต (12 ไบต์) สร้างใหม่ต่อข้อความผ่าน Random.secure() ทางโทรศัพท์หรือ RandomNumberGenerator บนสหาย
• แท็กรับรองความถูกต้อง: 128 บิต (16 ไบต์) ต่อท้ายไซเฟอร์เท็กซ์
• รูปแบบลวด: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• ความปลอดภัยที่ไม่ใช้ซ้ำ: nonce 96 บิตจาก CSPRNG ให้ความน่าจะเป็นในการชนกันของวันเกิดที่ขัดแย้งกันที่ ~2⁻³² หลังจาก 2⁴⁸ ข้อความ ซึ่งไม่สามารถเข้าถึงได้ทางดาราศาสตร์สำหรับปริมาณคำสั่งที่เป็นไปได้

HMAC-SHA256 (ความถูกต้องของคำสั่ง)

ทุกคำสั่งยังมีลายเซ็น HMAC ดังนั้นโทรศัพท์ที่ไม่ทราบรหัสการจับคู่จะไม่สามารถส่งคำสั่งได้แม้ว่าจะสามารถเขียนไปยัง Firestore ก็ตาม

• คีย์: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). แยกออกจากคีย์เข้ารหัส
• ขอบเขตสนาม: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). ไปป์เป็นอักขระไปป์ตามตัวอักษร ไม่ใช่ตัวคั่น — สตริงที่ต่อกันสามสาย
• ลำดับการยืนยัน: HMAC ได้รับการตรวจสอบแล้ว ก่อน ถอดรหัส ข้อความปลอมแปลงจะสิ้นเปลืองรอบ CPU เป็นศูนย์ในการเข้ารหัสแบบดั้งเดิม

รูปแบบภัยคุกคาม

ภัยคุกคาม	สถานะ	หมายเหตุ
ผู้ดักฟังบนเครือข่ายท้องถิ่น	บรรเทาลง	ข้อความไซเฟอร์ AES-GCM ไม่ชัดเจนสำหรับผู้สังเกตการณ์ MITM
ผู้ดักฟังบนเซิร์ฟเวอร์ Firestore	บรรเทาลง	Google sees AESGCM:... blobs, not commands.
ผู้โจมตีที่สามารถเขียนถึง Firestore แต่ไม่รู้รหัส	บรรเทาลง	การตรวจสอบ HMAC ล้มเหลว เพื่อนบันทึกการปฏิเสธ + ปฏิเสธการดำเนินการ
ผู้โจมตีที่ถอดรหัส / ฟิชชิงรหัสการจับคู่	สารตกค้าง	พวกเขาสามารถออกคำสั่งได้เหมือนกับว่าเป็นผู้ใช้ การบรรเทาผลกระทบ: หมุนโค้ดจากเมนูถาด
เล่นซ้ำคำสั่งที่บันทึกไว้	สารตกค้าง	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องในโหมด LAN	บรรเทาลง	การจับมือคู่ WebSocket ตรวจสอบรหัส ประตู HMAC + AES ทุกคำสั่งที่ตามมา
โทรศัพท์ที่ถูกบุกรุกโดยมีคีย์การจับคู่ที่ถูกขโมย	สารตกค้าง	แยกไม่ออกจาก “ตัวผู้ใช้เอง” การบรรเทาผลกระทบ: ขีดจำกัดอัตรา (10 ซม./นาที) + การยืนยันคำสั่งทำลายล้างต้องคลิกจากฝั่งพีซี
คำสั่งที่พิมพ์ผิดจากแอปโทรศัพท์	บรรเทาลง	รายการที่อนุญาตฝั่งโทรศัพท์จะบล็อกคำนำหน้าที่ไม่รู้จัก คำสั่งบล็อกก่อนการบินฝั่งสหายมุ่งเป้าไปที่บริการที่ไม่มีอยู่จริง
คำสั่งทำลายล้างทำงานโดยไม่ได้ตั้งใจ	บรรเทาลง	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
กระบวนการ PowerShell ที่ค้าง / รันอะเวย์	บรรเทาลง	การหมดเวลาทันที 5 นาทีจะทำลายแผนผังกระบวนการทั้งหมด
Companion .exe ขัดขวางระหว่างการดาวน์โหลดและเรียกใช้	บรรเทาลง	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion สถานะละเอียดอ่อนที่รั่วไหล	บรรเทาลง	รายงานข้อขัดข้อง + การเขียนกลับข้อผิดพลาดของ Firestore ได้รับการฆ่าเชื้อ %USERPROFILE% / %MACHINE% / %USER%.
อุปกรณ์ที่ถูกขโมย คีย์การจับคู่รีจิสทรียังคงอยู่	สารตกค้าง	ผู้โจมตีที่มีการเข้าถึงดิสก์ + เข้าสู่ระบบสามารถอ่านโค้ดที่มีอยู่ได้ การแก้ไขในอนาคตจะล้อมด้วย Windows DPAPI

อยู่นอกขอบเขต

สิ่งที่ WindowsHelper ทำอย่างชัดเจน ไม่ ป้องกัน:

• บัญชี Windows ที่ถูกบุกรุก วิ่งสหาย เราถือว่าพีซีของผู้ใช้เป็นของพวกเขา ผู้โจมตีที่มีผู้ดูแลระบบบนพีซีของผู้ใช้ได้รับชัยชนะไปแล้ว
• ไบนารีแอปโทรศัพท์ที่ถูกบุกรุก เราไม่ได้ลงนามในบิลด์ Android/iOS ที่ป้องกันการปลอมแปลงเกินกว่าที่ App Store ของแพลตฟอร์มมอบให้
• ศัตรูระดับรัฐ พร้อมทรัพยากรที่จะล้มล้าง Firestore ของ Google หรือ PKI ของ DigiCert ผลิตภัณฑ์นี้มุ่งเป้าไปที่ภัยคุกคามระดับผู้บริโภค — สคริปต์เด็ก, ผู้สอดแนมทั่วไป, สมาชิกในครัวเรือนที่ไม่พอใจ — ไม่ใช่รัฐบาล
• การโจมตีช่องทางด้านข้าง บน AES-GCM ผ่านการวิเคราะห์กำลัง / EM การแสดงร่วมไม่ใช่สมาร์ทการ์ด

การเปิดเผยข้อมูล

• อีเมล support@windowshelper.app กับเรื่อง [security].
• โปรดระบุหมายเลขเวอร์ชัน ขั้นตอนการทำซ้ำ ผลกระทบ และการแก้ไขที่เหมาะสมที่สุด
• ตอบกลับครั้งแรกภายใน 48 ชั่วโมง ทดสอบความรุนแรงภายในหนึ่งสัปดาห์ ปัญหาที่มีความรุนแรงสูงจะได้รับการเผยแพร่นอกวงจร
• กรอบเวลาการเปิดเผย: 90 วันนับจากรายงานครั้งแรก หรือเร็วกว่านั้นตามข้อตกลงร่วมกัน
• ขณะนี้ยังไม่มีค่าหัวบั๊กที่ต้องเสียเงิน — เราให้เครดิตผู้รายงานในบันทึกประจำรุ่น (ได้รับอนุญาต)