รูปแบบการรักษาความปลอดภัย

วิธีที่ WindowsHelper ปกป้องพีซี + โทรศัพท์ของคุณ การเข้ารหัสที่เราใช้ และสิ่งที่เราไม่ได้ป้องกันอย่างชัดเจน อัปเดตล่าสุด: 2569-04-25

วงจรชีวิตของรหัสการจับคู่

รหัสการจับคู่คือความลับที่ใช้ร่วมกันซึ่งการดำเนินการเข้ารหัสอื่นๆ ทั้งหมดได้มาจากมัน วงจรชีวิตทั้งหมด:

[ โทรศัพท์ สร้างรหัสสุ่ม 8 อักขระ ]
   ↓
[ โทรศัพท์ เขียนรหัส + sessionId ลงใน Firestore ในเอกสาร pc_connections ]
   ↓
[ โทรศัพท์ แสดงรหัสให้ผู้ใช้เห็นบนหน้าจอ ]
   ↓
[ ผู้ใช้ อ่านรหัสแล้วพิมพ์ลงในช่องกรอกของ Companion ]
   ↓
[ Companion ค้นหาเซสชันที่รออยู่ซึ่งตรงกับรหัสใน Firestore ]
   ↓
[ ทั้งสองฝ่าย สร้างคีย์เข้ารหัสจาก SHA-256(รหัส, sessionId) ]
   ↓
[ รหัส คงอยู่ในหน่วยความจำของทั้งสองฝ่าย และไม่มีฝ่ายใดเขียนลง Firestore ]
   ↓
[ การตัดการเชื่อมต่อ / การจับคู่ใหม่ ลบรหัสออกจากทั้งสองฝ่าย ]

• สุ่ม: รหัสที่สร้างผ่าน RNG ที่ปลอดภัยแบบเข้ารหัส
• ตัวอักษร 30 ตัว × 8 ตำแหน่ง ≈ 656 พันล้านรูปแบบ ตัด I, L, O, Z, 0 และ 1 ออกเพื่อเลี่ยงความสับสนทางสายตา มิใช่ด้วยเหตุผลด้านความปลอดภัย — พื้นที่รหัสหนาแน่นพอที่หน้าต่างการเดาแบบ brute force นาน 10 นาที ภายใต้ขีดจำกัดอัตราของ Firestore จะทำได้ยากเกินจริง
• เก็บไว้แบบเข้ารหัสบนพีซีเครื่องนี้ Companion บันทึกรหัสไว้ใน รีจิสทรี ของบัญชี Windows ของคุณ โดยเข้ารหัสด้วย DPAPI เพื่อให้เชื่อมต่อใหม่ได้หลังรีสตาร์ต
• ถูกลบ เมื่อคุณตัดการเชื่อมต่อและล้างเซสชัน เปลี่ยนรหัส หรือถอนการติดตั้ง การปิดแอปจะยังเก็บไว้ เพื่อให้ Companion เชื่อมต่อใหม่ได้

การเข้ารหัส

AES-256-GCM (การรักษาความลับของคำสั่ง + ความสมบูรณ์)

ทุกคำสั่งที่ส่งผ่านสายจะถูกเข้ารหัสด้วย AES-256-GCM ซึ่งเป็นโหมดการเข้ารหัสที่มีการรับรองความถูกต้อง

• คีย์: 256 บิตได้มาในรูปแบบ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Nonce: 96 บิต (12 ไบต์) สร้างใหม่ต่อข้อความผ่าน Random.secure() ทางโทรศัพท์หรือ RandomNumberGenerator ฝั่ง Companion
• แท็กรับรองความถูกต้อง: 128 บิต (16 ไบต์) ต่อท้ายไซเฟอร์เท็กซ์
• รูปแบบลวด: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• ความปลอดภัยของการใช้ nonce เพียงครั้งเดียว: nonce ขนาด 96 บิตจาก CSPRNG รักษาความน่าจะเป็นของการชนกันตามปฏิทรรศน์วันเกิดไว้ที่ประมาณ 2⁻³² ตลอด 2³² ข้อความด้วยคีย์เซสชันเดียว — นี่คือขีดจำกัดมาตรฐานสำหรับ nonce แบบสุ่มของ GCM และมากเกินกว่าปริมาณคำสั่งที่เป็นไปได้จริงอย่างมาก

HMAC-SHA256 (ความถูกต้องของคำสั่ง)

ทุกคำสั่งยังมีลายเซ็น HMAC ดังนั้นโทรศัพท์ที่ไม่ทราบรหัสการจับคู่จะไม่สามารถส่งคำสั่งได้แม้ว่าจะสามารถเขียนไปยัง Firestore ก็ตาม

• คีย์: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). แยกออกจากคีย์เข้ารหัส
• ขอบเขตสนาม: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). ไปป์เป็นอักขระไปป์ตามตัวอักษร ไม่ใช่ตัวคั่น — สตริงที่ต่อกันสามสาย
• ลำดับการตรวจสอบ: HMAC จะได้รับการตรวจสอบก่อนการถอดรหัส ข้อความปลอมไม่สิ้นเปลืองรอบ CPU แม้แต่รอบเดียวในการเข้ารหัส

รูปแบบภัยคุกคาม

ภัยคุกคาม	สถานะ	หมายเหตุ
ผู้ดักฟังบนเครือข่ายท้องถิ่น	บรรเทาลง	ข้อความไซเฟอร์ AES-GCM ไม่ชัดเจนสำหรับผู้สังเกตการณ์ MITM
ผู้ดักฟังบนเซิร์ฟเวอร์ Firestore	บรรเทาลง	Google เห็นเป็นก้อนข้อมูล AESGCM:... ไม่ใช่คำสั่ง
ผู้โจมตีที่สามารถเขียนถึง Firestore แต่ไม่รู้รหัส	บรรเทาลง	การตรวจสอบ HMAC ล้มเหลว Companion จะบันทึกการปฏิเสธและไม่รันคำสั่งนั้น
ผู้โจมตีที่ถอดรหัส / ฟิชชิงรหัสการจับคู่	สารตกค้าง	พวกเขาสามารถออกคำสั่งได้เหมือนกับว่าเป็นผู้ใช้ การบรรเทาผลกระทบ: หมุนโค้ดจากเมนูถาด
เล่นซ้ำคำสั่งที่บันทึกไว้	สารตกค้าง	sentAtMillis ผูกกับ HMAC Companion ยังไม่บังคับช่วงเวลาความสดใหม่ การแก้ไขในอนาคตจะเพิ่มเวลาหมดอายุ
ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องในโหมด LAN	บรรเทาลง	การจับมือคู่ WebSocket ตรวจสอบรหัส ประตู HMAC + AES ทุกคำสั่งที่ตามมา
โทรศัพท์ที่ถูกบุกรุกโดยมีคีย์การจับคู่ที่ถูกขโมย	สารตกค้าง	แยกไม่ออกจาก “ตัวผู้ใช้เอง” การบรรเทาผลกระทบ: ขีดจำกัดอัตรา (10 ซม./นาที) + การยืนยันคำสั่งทำลายล้างต้องคลิกจากฝั่งพีซี
คำสั่งที่พิมพ์ผิดจากแอปโทรศัพท์	บรรเทาลง	รายการอนุญาตฝั่งโทรศัพท์จะบล็อกคำนำหน้าที่ไม่รู้จัก ส่วนการตรวจก่อนรันฝั่ง Companion จะบล็อกคำสั่งที่พุ่งไปยังบริการที่ไม่มีอยู่จริง
คำสั่งทำลายล้างทำงานโดยไม่ได้ตั้งใจ	บรรเทาลง	หน้าต่างฝั่ง Companion ต้องให้ผู้ใช้คลิกเพื่ออนุมัติ Remove-Item, Format-Volume, reg delete, shutdown /r และคำสั่งทำนองนี้
กระบวนการ PowerShell ที่ค้าง / รันอะเวย์	บรรเทาลง	ทุกคำสั่งมีขีดจำกัดเวลา — 5 นาทีเป็นค่าเริ่มต้น 45 สำหรับการแก้ไขที่ใช้เวลานาน 60 ที่เพดานตายตัว — และทั้งแผนผังโปรเซสจะถูกหยุด
Companion .exe ขัดขวางระหว่างการดาวน์โหลดและเรียกใช้	บรรเทาลง	เผยแพร่ SHA-256 ไว้ใน companion-version.json ผู้ใช้ตรวจสอบได้ การลงนาม Authenticode มีกำหนดทำก่อนเปิดตัว
Companion สถานะละเอียดอ่อนที่รั่วไหล	บรรเทาลง	รายงานข้อขัดข้อง + การเขียนกลับข้อผิดพลาดของ Firestore ได้รับการฆ่าเชื้อ %USERPROFILE% / %MACHINE% / %USER%.
อุปกรณ์ที่ถูกขโมย คีย์การจับคู่รีจิสทรียังคงอยู่	บรรเทาลง	รหัสการจับคู่ที่มีอยู่จะถูกเข้ารหัสด้วย Windows DPAPI (ต่อบัญชี) ดังนั้นจึงไม่สามารถอ่านได้จากดิสก์ที่คัดลอกหรือบัญชี Windows อื่น

อยู่นอกขอบเขต

สิ่งที่ WindowsHelper ไม่ได้ป้องกันอย่างชัดเจน:

• บัญชี Windows ที่ถูกบุกรุก วิ่งสหาย เราถือว่าพีซีของผู้ใช้เป็นของพวกเขา ผู้โจมตีที่มีผู้ดูแลระบบบนพีซีของผู้ใช้ได้รับชัยชนะไปแล้ว
• ไบนารีแอปโทรศัพท์ที่ถูกบุกรุก เราไม่ได้ลงนามในบิลด์ Android/iOS ที่ป้องกันการปลอมแปลงเกินกว่าที่ App Store ของแพลตฟอร์มมอบให้
• ฝ่ายตรงข้ามระดับรัฐ ที่มีทรัพยากรพอจะเจาะ Firestore ของ Google หรือหน่วยงานออกใบรับรองที่อยู่เบื้องหลัง HTTPS ผลิตภัณฑ์นี้มุ่งรับมือภัยคุกคามระดับผู้ใช้ทั่วไป — แฮกเกอร์มือใหม่ คนสอดรู้ที่แวะมาดู คนในบ้านที่ขุ่นเคือง — มิใช่รัฐบาล
• การโจมตีช่องทางข้าง ต่อ AES-GCM ผ่านการวิเคราะห์กำลังไฟหรือคลื่นแม่เหล็กไฟฟ้า Companion ไม่ใช่สมาร์ตการ์ด

การเปิดเผยข้อมูล

• อีเมล support@windowshelper.app กับเรื่อง [security].
• โปรดระบุหมายเลขเวอร์ชัน ขั้นตอนการทำซ้ำ ผลกระทบ และการแก้ไขที่เหมาะสมที่สุด
• เราตั้งเป้าตอบกลับภายใน 48 ชั่วโมงและประเมินความรุนแรงภายในหนึ่งสัปดาห์ ปัญหาร้ายแรงจะได้รับการออกรุ่นนอกรอบปกติ
• กรอบเวลาการเปิดเผย: 90 วันนับจากรายงานครั้งแรก หรือเร็วกว่านั้นตามข้อตกลงร่วมกัน
• ขณะนี้ยังไม่มีค่าหัวบั๊กที่ต้องเสียเงิน — เราให้เครดิตผู้รายงานในบันทึกประจำรุ่น (ได้รับอนุญาต)