Al crear un archivo Zip protegido con contraseña (con la utilidad "carpeta comprimida" integrada en el sistema operativo), Windows XP utiliza el algoritmo de cifrado "estándar" para archivos Zip. Este es un cifrado de flujo casero y es débil. Con 13 bytes de texto plano conocido, la complejidad del ataque es de aproximadamente 2 ³⁸ operaciones, lo que se puede realizar en unas pocas horas en una PC. 13 bytes son relativamente fáciles de obtener (por ejemplo, si uno de los archivos del archivo es una imagen, probablemente estará descomprimido y comenzará con un encabezado conocido). El resultado incluso se ha mejorado, sobre todo porque los archivos de un archivo se cifran por separado pero sin la diversificación de claves adecuada. Hace algunos años (algunos ahora, tempus fugit ), vi un software para descifrar contraseñas de Ivan Golubev que le dio un buen uso a esta ciencia y podría descifrar el cifrado Zip en una hora.

El ataque al cifrado Zip es en realidad:

• una buena introducción al criptoanálisis;
• un buen ejercicio de programación;
• un recordatorio de que no debe lanzar su propia criptografía. Phil Katz era muy bueno en su dominio, pero los mejores criptógrafos del mundo le dirán que se necesita mucho más que un criptógrafo extremadamente bueno para crear un algoritmo seguro; se necesitan muchos criptógrafos que proponen febrilmente diseños y tratar de romper los diseños de los demás, durante unos años, hasta que surge un diseño aparentemente robusto (donde "robusto" significa "nadie pudo encontrar el menor argumento para apoyar la idea de que, posiblemente, pueden hacer mella en él en una fecha no especificada ").

Ahora, si usa una herramienta que admita el cifrado más nuevo basado en AES, las cosas se verán mejor, siempre que el formato y la implementación no fueron chapuceras y la contraseña tiene suficiente entropía. Sin embargo, dichos archivos Zip no serán abiertos por el explorador de WinXP estándar.

Si se requiere una herramienta externa, también puede confiar en una herramienta que haya sido analizada a fondo para su seguridad, tanto en la especificación del formato como en la implementación; en otras palabras, como @ D.W. sugiere: GnuPG.

En cuanto a los archivos autodescifrables , todos son incorrectos, ya que dependen de que el usuario haga exactamente lo que Nunca debe hacerse, es decir, lanzar un ejecutable que recibió por correo electrónico. Si hace abre un archivo de autodescodificación que usted le envía, entonces, con esta acción, simplemente demostrará que es vulnerable a la miríada de virus / gusanos / lo que sea que deambula por la Internet salvaje, y probablemente ya esté infectado con varios programas maliciosos, incluidos keyloggers.

Sin embargo , hay una manera, en su situación específica , de hacer una descifrar archivo razonable. Todavía necesita que su cliente instale una nueva pieza de software, pero al menos es directamente de Microsoft: el Verificador de integridad de suma de comprobación de archivos, un nombre pomposo para una herramienta que calcula hashes de archivos. Envíe el archivo de autodescodificación a su cliente y pídale que lo guarde como un archivo ( sin ejecutarlo, por supuesto). Luego, haga que ejecute FCIV en él para obtener el hash SHA-1 del archivo. Haz lo mismo de tu lado. Finalmente, compare los dos hashes por teléfono (no es difícil dictar 40 caracteres hexadecimales). Si los dos hashes coinciden, su cliente sabrá que el archivo no se modificó durante la transferencia y podrá ejecutarlo con confianza.

(Es decir, si su cliente confía en usted y confía en que su máquina no tiene el reloj lleno de virus que podrían haber infectado el archivo al salir.)

Para datos confidenciales, sería un poco reacio a utilizar archivos ZIP o 7ZIP protegidos con contraseña. Las versiones actuales de cifrado que utilizan no han sido bien estudiadas ni examinadas por investigadores independientes. Las versiones anteriores del software tenían debilidades de seguridad, lo que es un motivo leve de preocupación. Las versiones más nuevas pueden estar bien, pero como no han sido revisadas de forma independiente, soy reacio a confiar mucho en ellas. Idealmente, algo como GPG o PGP es mejor.

Tenga en cuenta que el cifrado con una contraseña tiende a ser débil. La mayoría de las personas eligen contraseñas que no tienen suficiente entropía para estar seguras contra la búsqueda fuera de línea (por ejemplo, ataque de diccionario, búsqueda exhaustiva). Además, las contraseñas largas y seguras son incómodas de usar, lo que las disuade aún más.

Le recomiendo que evite enviar a las personas archivos .exe autoextraíbles. Eso es un riesgo de seguridad. Cuando envía a las personas archivos .exe autoextraíbles, los está capacitando para recibir un archivo adjunto .exe por correo electrónico y ejecutarlo. Esa es una práctica muy peligrosa, desde una perspectiva de seguridad. Creo que el hecho de que ZIP y 7ZIP fomenten esta práctica es una señal de desprecio por la seguridad.

Si debe utilizar un cifrado basado en contraseña, le recomiendo: Utilice GPG o PGP ( por ejemplo, gpg -c ). La seguridad del cifrado de GPG ha sido bien estudiada y es sólida. Use una contraseña larga y segura: por ejemplo, use una utilidad para generar una contraseña criptográficamente aleatoria. Quieres una contraseña que tenga entre 14 y 16 caracteres aleatorios, sin patrón alguno.

Esta será probablemente la opción más fácil de usar para tu cliente, que también brinda una protección sólida.

Si desea mayor seguridad, almacene los datos cifrados en un CD o DVD y luego envíe el CD o DVD por Fedex (en lugar de por correo electrónico). De esa manera, obtienes dos capas de seguridad: alguien puede robar los datos solo si puede acceder al CD o DVD y si tiene la contraseña para descifrarlo.

Si sus clientes tienen problemas para usar PGP o GPG, puede usar una versión reciente del cifrado de contraseña ZIP o 7ZIP. En ese caso, evitaría un archivo .exe autoextraíble y probablemente estaría más inclinado a enviar los datos cifrados por correo (en un CD o DVD) en lugar de hacerlo por Internet.

Alternativamente: si su cliente tiene conocimientos técnicos y tiene comunicaciones frecuentes con él, otra opción es hacer que use GPG o PGP para generar un par de claves públicas al azar, enviarle su clave pública y luego usted puede cifrar datos bajo su clave pública. Esto proporcionará una mayor seguridad, si saben cómo utilizar GPG o PGP. Sin embargo, es menos intuitivo y, por lo tanto, probablemente no sea factible para enviar una pieza de datos a un cliente promedio.

No es tan difícil descifrar un archivo ZIP protegido con contraseña. Hay muchas aplicaciones para averiguar la contraseña o simplemente eliminarla.

Lo más probable es que nadie intercepte el correo electrónico entre usted y ellos. Los servidores públicos de correo electrónico tienen una gran cantidad de datos fluyendo entre ellos. Probablemente sea suficiente poner una contraseña en el correo electrónico. Si necesita algo más seguro, busque encriptar el correo electrónico a través del cual se envía el archivo adjunto, o publique el archivo en una ubicación segura como un buzón (sí, estoy al tanto del problema que tuvieron hace un par de semanas) y envíelos el enlace.

He usado archivos zip protegidos con contraseña como mecanismo de cifrado ad-hoc (aunque prefiero usar GPG cuando sea posible). Se habla mucho de la recuperación de contraseñas para archivos zip, pero mientras esté utilizando una versión actual, el único mecanismo de recuperación práctico es la fuerza bruta. Creo que tanto 7-zip como Winzip admiten AES-256. Si su cliente ya tiene Winzip, lo usaría (solo asegúrese de usar AES y no encriptación "Legacy").

El aspecto más importante de usar esta es su contraseña (recomendaría una contraseña, al menos 16 caracteres, agregue algunos caracteres especiales). La frase de contraseña tiene la ventaja de que la fuerza bruta es difícil y puedes intercambiarla por teléfono con relativa facilidad.

Este no es un mecanismo perfecto de ninguna manera, pero podría ser lo suficientemente bueno para tus propósitos ( dependiendo de la sensibilidad de los datos).

Con GTX 295 dobles, se puede recuperar una contraseña de 4 caracteres en menos de una hora.

http://is.hut.vn/~phongph/uploads/publications/1277074631.pdf