El consejo estándar durante muchos años con respecto a la compresión y el cifrado ha sido que la fuerza de cifrado de zip es mala.
¿Es este realmente el caso hoy en día?
Leí este artículo sobre WinZip (ha tenido la misma mala reputación). De acuerdo con ese artículo, el problema se elimina siempre que siga algunas reglas al elegir su contraseña.
- Al menos 12 caracteres de longitud
- Sea aleatorio, no contenga ningún diccionario, palabras o nombres comunes
- Al menos un personaje en mayúscula
- Tener al menos un carácter en minúscula
- Tener al menos un carácter numérico
- Tener al menos un Carácter especial, por ejemplo, $, £, *,%, & ,!
Esto resultaría en roughly 475,920,314,814,253,000,000,000 possible combinations to brute force
Proporcione enlaces recientes (por ejemplo, últimos cinco años) para respaldar su información.
security
encryption
compression
zip
Nifle
fuente
fuente
Respuestas:
La debilidad del antiguo cifrado se debió a la debilidad del algoritmo de cifrado elegido .
Hoy en día, uno puede usar el cifrado de grado industrial a través de ' AES ', que se usa en todas partes (y está bajo un fuerte ataque, pero parece bastante difícil de atacar). Como dijo el sitio que citó: el punto más débil está en la frase de contraseña y las reglas que mencionó abordan especialmente ese problema.
Estas reglas no se aplican a la frase de contraseña para el cifrado antiguo, ya que ese cifrado antiguo era muy débil en sí mismo, sin importar si elige una buena contraseña o no.
La afirmación de "el problema se eliminó debido a ..." no es cierta, ya que la solución real para cifrar archivos ZIP de forma segura es elegir un algoritmo de cifrado seguro Y una contraseña segura. La contraseña más segura no vale nada si el algoritmo de cifrado es débil.
Lea también http://www.info-zip.org/FAQ.html#crypto y http://www.topbits.com/how-can-i-recover-a-zip-password.html
fuente
El cifrado simétrico es problemático. Es bueno y bueno decir: "Solo usa Waq3 $ f ^ t> p ~ 6pWr como contraseña, ¡y estás bien!" pero estás dejando una gran puerta abierta a la ingeniería social y al descuido del usuario.
Entonces, yo diría, hipotéticamente , que si asume una contraseña de primera clase, está bien usar programas zip cifrados de clave simétrica que ofrecen algoritmos de cifrado probados , pero en el mundo real la dependencia de la seguridad de la contraseña es una gran debilidad.
@ Akira: No dije que fuera malo , dije que era problemático y lo es. Con el cifrado de clave pública (asimétrico), tiene un nivel constante de seguridad. Si tiene una clave de 1024 bits, sus datos están encriptados a 1024 bits.
Con el cifrado de clave simétrica, puede tener una seguridad divina (contraseña de 1024 caracteres) o una seguridad sin valor (contraseña de 1 carácter), y no tiene control sobre el resultado final.
(Nota: no me molesté en hablar sobre claves comprometidas porque eso afecta a ambos métodos por igual)
@Nifle: De acuerdo. El intercambio de claves es el problema con la criptografía de clave pública, pero es un método mucho más confiable. Tiendo a recomendar contra el cifrado de clave simétrica porque hace que las personas piensen que son seguras, cuando no lo son.
@ Akira: Francamente, no estoy seguro de lo que estás hablando. El hecho de que las claves privadas a menudo estén protegidas con una frase de contraseña como protección adicional no significa que el cifrado simétrico / asimétrico esté "utilizando claves simétricas para el cifrado real". El cifrado asimétrico utiliza dos claves diferentes : una para el cifrado y otra para el descifrado. Y llamar a un aceite de serpiente de cifrado de bit más alto es falso en el mejor de los casos: si ese fuera el caso, entonces aes128 sería lo mismo que aes256.
Y comparar una plataforma de un solo uso con cualquier tipo de máquina criptográfica muestra el peor tipo de ignorancia. Son seguros porque son puro ruido aleatorio del tipo que las computadoras, por su propia naturaleza, no pueden producir. Estás diciendo que, dado que un tipo de cifrado de clave simétrica es seguro, entonces todo tipo de cifrado de clave simétrica es seguro, lo cual es una falacia total. Y lo que es peor, ¡estás manteniendo la otp frente al cifrado asimétrico cuando tienen el mismo EXACTO problema de intercambio de claves!
fuente