Mô hình bảo mật

Cách WindowsHelper bảo vệ PC + điện thoại của bạn, loại mật mã chúng tôi sử dụng và những gì chúng tôi rõ ràng không bảo vệ. Cập nhật lần cuối: 25-04-2026.

Vòng đời mã ghép nối

Mã ghép nối là bí mật được chia sẻ mọi hoạt động tiền điện tử khác đều bắt nguồn từ đó. Vòng đời đầy đủ:

[ Phone GENERATES random 8-char code ]
   ↓
[ Phone WRITES code + sessionId to Firestore in pc_connections doc ]
   ↓
[ Phone DISPLAYS code to user on screen ]
   ↓
[ User READS code, types it into companion's input field ]
   ↓
[ Companion QUERIES Firestore for waiting session matching the code ]
   ↓
[ Both sides DERIVE crypto keys from SHA-256(code, sessionId) ]
   ↓
[ Code STAYS in memory on both sides; never written to Firestore by either ]
   ↓
[ Disconnect / re-pair WIPES the code from both sides ]

• Ngẫu nhiên: mã được tạo thông qua RNG bảo mật bằng mật mã.
• Bảng chữ cái 32 ký tự × 8 vị trí ≈ 1,1 nghìn tỷ tổ hợp. Loại trừ I/O/0/1 để tránh sự mơ hồ về mặt hình ảnh, không có ý nghĩa bảo mật — không gian mã đủ dày đặc đến mức không thể thực hiện được cửa sổ brute-force kéo dài 5 phút với giới hạn tốc độ Firestore.
• Không bao giờ được viết thư cho Firestore bởi cả hai bên. Chỉ có tài liệu phiên WAITING mang pairingCode; sau khi được ghép nối, mã sẽ chỉ nằm trong bộ nhớ.
• Xóa trong bộ nhớ khi ngắt kết nối, ghép nối lại hoặc đóng ứng dụng.

mật mã

AES-256-GCM (bảo mật lệnh + tính toàn vẹn)

Mọi lệnh được gửi qua dây đều được mã hóa bằng AES-256-GCM, một chế độ mã hóa được xác thực.

• Chìa khóa: 256 bit, xuất phát từ SHA-256("WH_SECURE_{code}_{sessionId}_CMD_KEY").
• Không: 96 bit (12 byte), được tạo mới cho mỗi tin nhắn thông qua Random.secure() trên điện thoại hoặc RandomNumberGenerator trên người bạn đồng hành.
• Thẻ xác thực: 128 bit (16 byte), được thêm vào bản mã.
• Dạng dây: AESGCM:<nonce_b64>:<ciphertext_b64>:<tag_b64>
• An toàn không tái sử dụng: Các nonces 96 bit từ CSPRNG mang lại xác suất va chạm nghịch lý sinh nhật là ~ 2⁻³² sau 2⁴⁸ tin nhắn - về mặt thiên văn nằm ngoài tầm với của bất kỳ khối lượng lệnh hợp lý nào.

HMAC-SHA256 (lệnh xác thực)

Mọi lệnh cũng mang chữ ký HMAC nên điện thoại không biết mã ghép nối sẽ không thể đưa lệnh ngay cả khi nó có thể ghi vào Firestore.

• Chìa khóa: 256 bits, derived as SHA-256("WH_SECURE_{code}_{sessionId}_HMAC_KEY"). Tách khỏi khóa mã hóa.
• Phạm vi trường: HMAC-SHA256(hmacKey, commandId | ciphertext | sentAtMillis). Các ống là các ký tự ống theo nghĩa đen, không phải dấu phân cách - ba chuỗi được nối.
• Lệnh xác minh: Đã xác minh HMAC trước đây giải mã. Tin nhắn giả mạo không lãng phí chu kỳ CPU nào trên các mật mã nguyên thủy.

Mô hình mối đe dọa

Đe dọa	Trạng thái	Ghi chú
Kẻ nghe lén trên mạng cục bộ	giảm nhẹ	Bản mã AES-GCM không rõ ràng đối với người quan sát MITM.
Kẻ nghe lén trên máy chủ Firestore	giảm nhẹ	Google sees AESGCM:... blobs, not commands.
Kẻ tấn công có thể viết thư vào Firestore nhưng không biết mã	giảm nhẹ	Xác minh HMAC không thành công; đồng hành ghi lại sự từ chối + từ chối thực thi.
Kẻ tấn công đã bẻ khóa/lừa đảo mã ghép nối	dư	Họ có thể ra lệnh như thể họ là người dùng. Giảm thiểu: xoay mã từ menu khay.
Phát lại lệnh đã ghi	dư	sentAtMillis is HMAC-bound; companion doesn't yet enforce a freshness window. Future fix adds a TTL.
Kẻ tấn công không được xác thực ở chế độ LAN	giảm nhẹ	Bắt tay cặp WebSocket xác thực mã; Cổng HMAC + AES cho mỗi lệnh tiếp theo.
Điện thoại bị xâm nhập với khóa ghép nối bị đánh cắp	dư	Không thể phân biệt được với "chính người dùng". Giảm thiểu: giới hạn tốc độ (10 cmd/phút) + xác nhận lệnh phá hủy yêu cầu nhấp chuột từ phía PC.
Lệnh nhập sai từ ứng dụng điện thoại	giảm nhẹ	Danh sách cho phép phía điện thoại chặn các tiền tố không được nhận dạng; Các lệnh chặn trước chuyến bay của bên đồng hành nhắm mục tiêu vào các dịch vụ không tồn tại.
Lệnh phá hủy vô tình chạy	giảm nhẹ	Companion-side modal requires user click to approve Remove-Item, Format-Volume, reg delete, shutdown /r, etc.
Quá trình PowerShell chạy/chạy trốn	giảm nhẹ	Thời gian chờ 5 phút cứng sẽ giết chết toàn bộ cây quy trình.
Companion giả mạo .exe giữa quá trình tải xuống và chạy	giảm nhẹ	SHA-256 published in companion-version.json; users can verify. Authenticode signing landing soon.
Companion sự cố làm rò rỉ trạng thái nhạy cảm	giảm nhẹ	Báo cáo sự cố + Sửa lỗi ghi lại lỗi Firestore %USERPROFILE% / %MACHINE% / %USER%.
Thiết bị bị đánh cắp, khóa ghép nối Sổ đăng ký vẫn tồn tại	dư	Kẻ tấn công có quyền truy cập đĩa + đăng nhập có thể đọc mã tồn tại. Bản sửa lỗi trong tương lai sẽ kết thúc bằng Windows DPAPI.

Ngoài phạm vi

Những việc WindowsHelper thực hiện một cách rõ ràng không chống lại:

• Tài khoản Windows bị xâm phạm chạy đồng hành. Chúng tôi cho rằng PC của người dùng là của họ. Kẻ tấn công có quyền quản trị viên trên PC của người dùng đã thắng.
• Ứng dụng điện thoại bị xâm phạm nhị phân. Chúng tôi không ký các bản dựng Android/iOS chống giả mạo ngoài những gì cửa hàng ứng dụng của nền tảng này cung cấp.
• Đối thủ cấp nhà nước với các tài nguyên để phá hoại Firestore của Google hoặc PKI của DigiCert. Sản phẩm này nhắm đến các mối đe dọa ở cấp độ người tiêu dùng - những đứa trẻ hay rình mò, những thành viên trong gia đình bất mãn - chứ không phải chính phủ.
• Tấn công kênh bên trên AES-GCM thông qua phân tích nguồn / EM. Người bạn đồng hành không phải là một thẻ thông minh.

Tiết lộ

• E-mail support@windowshelper.app với chủ đề [security].
• Vui lòng bao gồm số phiên bản, các bước repro, tác động và cách khắc phục lý tưởng.
• Phản hồi đầu tiên trong vòng 48 giờ. Mức độ nghiêm trọng được phân loại trong vòng một tuần. Các vấn đề có mức độ nghiêm trọng cao sẽ được phát hành ngoài chu kỳ.
• Thời hạn tiết lộ: 90 ngày kể từ báo cáo ban đầu hoặc sớm hơn theo thỏa thuận chung.
• Hiện tại không có tiền thưởng lỗi phải trả tiền - chúng tôi ghi công các phóng viên trong ghi chú phát hành (với sự cho phép).