Parolalı ZIP: ZipCrypto ile AES-256 farkı ve neden önemli
Haven Zip ekibi · · 2 dk okuma
İki ZIP dosyası da parola sorabilir ve bambaşka koruma sunabilir. Biri, bilinen zayıflıkları olan 1990'lardan kalma bir yöntem kullanır; araçlar onu bir dizüstünde dakikalar içinde kırar. Diğeri disk şifrelemesinin ve bankacılığın arkasındaki AES-256'yı kullanır. İki durumda da parola kutusu aynı görünür; sorun da tam olarak bu.
ZipCrypto: ataşla açılan bir kilit
Belirtimde geleneksel PKWARE yöntemi diye geçen özgün ZIP şifrelemesi, üç adet 32 bitlik yazmaçla çalışan bir akış şifresidir. 1994'te Biham ve Kocher buna karşı bilinen düz metin saldırısı yayımladı: saldırgan arşivin içindeki bir dosyanın yalnızca 12 baytını biliyorsa arşivin tamamı parolasız açılabilir. 12 bayt bilmek kolaydır; her dosya formatının sabit bir başlığı vardır.
Bu yüzden birçok araç uyumluluk için hâlâ ZipCrypto arşivi üretir ve birçok yerleşik açıcı yalnızca ZipCrypto'yu anlar. Böyle bir arşivdeki parola gelişigüzel bir bakışı engeller, başka hiçbir şeyi değil.
ZIP ve 7z içinde AES-256
WinZip, ZIP için AES şifrelemesini 2003'te getirdi (AE-1 ve AE-2 biçimleri); 7-Zip bunu hem 7z hem ZIP için benimsedi. Parola PBKDF2 ile bir anahtara dönüştürülür, veri sayaç modunda AES ile şifrelenir ve bir HMAC bütünlüğü denetler. Bilinen bir kestirme yoktur; tek saldırı parolayı tahmin etmektir, dolayısıyla uzun bir parola cümlesi gerçekten güvenlidir.
7z bir adım ileri gider ve başlık şifrelemesi sunar: dosya adları, boyutlar ve dizin yapısı da şifrelenir. AES'li ZIP'te ise dosya adları arşivi açan herkese hâlâ görünür.
Hangisine sahip olduğunuzu nasıl anlarsınız
Arşivi yöntem sütununu gösteren bir araçta açın. 7-Zip dosya başına AES-256 ya da ZipCrypto yazar. Haven Zip şifreli arşivlerde kilit simgesi gösterir ve arşiv oluştururken her zaman AES-256 kullanır, asla ZipCrypto değil.
Tek aracı işletim sisteminin yerleşik açıcısı olan bir alıcı için arşiv üretmek zorundaysanız şunu bilin: Windows Gezgini AES'li ZIP'i hiç açamaz, macOS Arşiv Yardımcısı da açamaz. Bu durumda zayıf şifreli bir ZIP yerine bir 7z arşivi ve ücretsiz bir açıcı bağlantısı daha iyi cevaptır.
- Başkalarının okumasını istemediğiniz hiçbir şey için ZipCrypto'ya güvenmeyin.
- Dört ya da daha fazla rastgele kelimeden oluşan bir parola cümlesi kullanın; AES'in kestirmesi yoktur ama kısa parola tahmin edilir.
- Parolayı dosyadan farklı bir kanaldan gönderin.