Güvenlik Modeli

WindowsHelper, bilgisayarınızı ve telefonunuzu nasıl korur, hangi şifrelemeyi kullanırız ve açıkça nelere karşı savunmayız. Son güncelleme: 2026-04-25.

Eşleştirme kodu yaşam döngüsü

Eşleştirme kodu paylaşılan sır diğer tüm kripto işlemleri bundan kaynaklanır. Tam yaşam döngüsü:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Rastgele: Kriptografik olarak güvenli RNG'ler aracılığıyla oluşturulan kodlar.
• 32 karakterli alfabe × 8 konum ≈ 1,1 trilyon kombinasyon. Güvenlik açısından önemi değil, görsel belirsizliği önlemek için G/Ç/0/1'i hariç tutar — kod alanı, Firestore hız limitleriyle 5 dakikalık bir kaba kuvvet penceresinin mümkün olmayacağı kadar yoğundur.
• Her iki taraftan da Firestore'a hiçbir zaman yazmadım. Yalnızca BEKLEME oturum belgesi taşır pairingCode; Eşleştirildikten sonra kod yalnızca bellekte kalır.
• Bellek içi silme bağlantı kesildiğinde, yeniden eşleştirildiğinde veya uygulama kapatıldığında.

Kriptografi

AES-256-GCM (komut gizliliği + bütünlük)

Kablo üzerinden gönderilen her komut, kimliği doğrulanmış bir şifreleme modu olan AES-256-GCM ile şifrelenir.

• Anahtar: 256 bit, şu şekilde türetilmiştir: SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Bir kez: 96 bit (12 bayt), mesaj başına yeni olarak oluşturulur Random.secure() telefonda veya RandomNumberGenerator refakatçi üzerinde.
• Yetki etiketi: Şifreli metne eklenen 128 bit (16 bayt).
• Tel formatı: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• Yeniden kullanılmama güvenliği: Bir CSPRNG'den gelen 96 bitlik tekrarlar, 2⁴⁸ mesajdan sonra ~2⁻³²'lik bir doğum günü paradoksu çarpışma olasılığı verir; bu, herhangi bir makul komut hacmi için astronomik olarak erişilemezdir.

HMAC-SHA256 (komut özgünlüğü)

Her komut aynı zamanda bir HMAC imzası taşır; dolayısıyla eşleştirme kodunu bilmeyen bir telefon, Firestore'a yazabilse bile komutları enjekte edemez.

• Anahtar: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Şifreleme anahtarından ayırın.
• Alan kapsamı: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Borular, sınırlayıcılar değil, birleştirilmiş üç dizeden oluşan gerçek boru karakterleridir.
• Doğrulama sırası: HMAC doğrulandı önce şifre çözme. Sahte mesajlar, kriptografik temel öğelerde sıfır CPU döngüsünü boşa harcar.

Tehdit modeli

Tehdit	Durum	Notlar
Yerel ağdaki kulak misafiri	Azaltılmış	AES-GCM şifreli metni MITM gözlemcileri için opaktır.
Firestore sunucularındaki gizlice dinleme	Azaltılmış	Google sees AESGCM:... blobs, not commands.
Firestore'a yazabilen ancak kodu bilmeyen saldırgan	Azaltılmış	HMAC doğrulaması başarısız oluyor; tamamlayıcı reddedilmeyi günlüğe kaydeder + yürütmeyi reddeder.
Eşleştirme kodunu kıran/kimlik avına çıkan saldırgan	Artık	Sanki kullanıcı kendileriymiş gibi komutlar verebilirler. Azaltma: tepsi menüsünden kodu döndürün.
Kaydedilmiş bir komutun tekrarı	Artık	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
LAN modunda kimliği doğrulanmamış saldırgan	Azaltılmış	WebSocket çifti anlaşması kodu doğrular; Sonraki her komutta HMAC + AES kapısı.
Çalınan eşleştirme anahtarıyla ele geçirilen telefon	Artık	"Kullanıcının kendisinden" ayırt edilemez. Azaltma: hız sınırı (10 cmd/dak) + yıkıcı komut onayı, bilgisayar tarafında tıklama gerektirir.
Telefon uygulamasından yanlış yazılan komut	Azaltılmış	Telefon tarafındaki izin verilenler listesi tanınmayan önekleri engeller; refakatçi tarafı uçuş öncesi, var olmayan hizmetleri hedef alan komutları engeller.
Yıkıcı komut yanlışlıkla çalıştırıldı	Azaltılmış	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Asılı/kaçak PowerShell işlemi	Azaltılmış	Zor 5 dakikalık zaman aşımı tüm süreç ağacını öldürür.
Companion .exe indirme ve çalıştırma arasında değişiklik yapıyor	Azaltılmış	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion kilitlenme sızıntısı yapan hassas durum	Azaltılmış	Kilitlenme raporları + Firestore hata geri yazma işlemleri temizleniyor %USERPROFILE% / %MACHINE% / %USER%.
Çalınan cihaz, kalıcı Kayıt defteri eşleştirme anahtarı	Artık	Disk + oturum açma erişimine sahip bir saldırgan, kalıcı kodu okuyabilir. Gelecekteki düzeltme bunu Windows DPAPI ile tamamlayacak.

Kapsam dışı

WindowsHelper'ın açıkça yaptığı şeyler değil karşı savunmak:

• Güvenliği ihlal edilmiş Windows hesabı arkadaşı çalıştırıyor. Kullanıcının bilgisayarının kendisine ait olduğunu varsayıyoruz. Kullanıcının bilgisayarında yönetici bulunan bir saldırgan zaten kazandı.
• Güvenliği ihlal edilmiş telefon uygulaması ikili dosyası. Platformun uygulama mağazasının sağladığının ötesinde, kurcalamaya karşı Android/iOS sürümlerini imzalamayız.
• Devlet düzeyindeki rakipler Google'ın Firestore'unu veya DigiCert'in PKI'sını çökertecek kaynaklara sahip. Bu ürün, hükümetleri değil, tüketici düzeyindeki tehditleri (senaryo çocukları, sıradan meraklılar, hoşnutsuz aile üyeleri) hedef alıyor.
• Yan kanal saldırıları AES-GCM'de güç / EM analizi yoluyla. Arkadaşınız bir akıllı kart değildir.

Açıklama

• E-posta support@windowshelper.app konu ile [security].
• Lütfen sürüm numaralarını, yeniden oluşturma adımlarını, etkiyi ve ideal düzeltmeyi ekleyin.
• 48 saat içinde ilk yanıt. Bir hafta içinde önem derecesi belirlendi. Yüksek önem derecesine sahip sorunlar, döngü dışı bir sürüm alır.
• Açıklama aralığı: İlk rapordan itibaren 90 gün veya karşılıklı anlaşmaya göre daha erken.
• Şu anda ücretli hata ödülü yok; sürüm notlarında muhabirlere yer veriyoruz (izinle).