it-swarm.com.de

Können passwortgeschützte Zip-Dateien ohne rohe Gewalt beschädigt werden?

Sie haben eine Zip-Datei, die Sie mit 7z erstellt haben, um sie mit AES 128 durch ein Kennwort zu schützen. Kann ein intelligenter Gegner die Daten nur mit brutaler Gewalt extrahieren oder ist die Datei anfällig für andere Angriffe - wie ich weiß nicht Können Sie das Passwort umgehen und die Daten extrahieren?

26
Strapakowsky

Zip-Dateien werden mit AES-256 verschlüsselt, und der Schlüssel wird mithilfe einer langsamen Schlüsselableitungsfunktion (KDF) abgeleitet, die Bruteforce- und Wörterbuchangriffe im Allgemeinen unmöglich macht. Derzeit sind keine Möglichkeiten bekannt, die Verschlüsselung zu umgehen.

17
Polynomial

In direkter Bedeutung haben Sie erwähnt ( Daten extrahieren), nein. Beachten Sie jedoch, dass jedes Programm (oder jeder Benutzer) in einem kennwortgeschützten Zip-Archiv ( ohne Kenntnis des Kennworts ) kann:

  • liste der Dateien durchsuchen,
  • dateitypen überprüfen1.

Zip-Dateien können auch " kaputt" sein, dh Sie können vorhandene, passwortgeschützte Dateien, die in der Zip-Datei gespeichert sind, mit einer anderen Datei mit demselben Namen überschreiben, ohne das Passwort zu kennen.

Alle diese genannten Vorgänge ermöglichen dem Angreifer keinen Zugriff auf Inhalte (er oder sie kann immer noch nicht Daten extrahieren), sondern nur auflisten oder zerstören. Ich erwähne dies nur als mögliche Nebenwirkungen, die Sie möglicherweise nicht kennen. Einige Leute behandeln dies als Sicherheitslücken und geben an, dass Zip-Dateien aus diesen Gründen unsicher sind, andere gehen jedoch davon aus, dass die Sicherheit auch mit diesen genannten "Ergänzungen" nicht verletzt wird.

Da der Inhalt der Zip-Datei geändert werden kann, ohne das Passwort zu kennen, indem eine passwortgeschützte Datei durch eine andere ersetzt wird, können wir von völliger psychologischer Unsicherheit sprechen (Social Engineering, Hacking usw.). Der Angreifer kann den Inhalt der Zip-Datei ändern, ohne das Kennwort zu kennen, und gegenüber dem Opfer behaupten, dass es unverändert ist. Das Opfer kann, ohne die oben genannten Nebenwirkungen zu kennen, fälschlicherweise annehmen, dass das Archiv nicht geändert wurde oder sein Inhalt nicht geändert wurde, da er oder sie (das Opfer) die einzige Person ist , das kennt das Passwort.

Hier haben Sie meine einfache Frage zur Sicherheit von Zip-Dateien, die sich als sehr gute Anzeige herausstellte, mit vielen nützlichen Antworten und Kommentaren.

1Versuchen Sie, eine verschlüsselte, passwortgeschützte Zip-Datei mit EXE-Datei über Google Mail zu senden, um dies "in Aktion" zu sehen. Google Mail kann erkennen, dass Sie eine ausführbare Datei senden (und dies verhindern), obwohl Ihr Zip kein Kennwort kennt und mit dem es geschützt ist. Randnotiz: Es ist sowohl witzig als auch überraschend, dass das Umbenennen derselben Datei durch eine andere Erweiterung (d. H. File.not-Zip) diesen "Schutz" -Mechanismus vollständig deaktivieren und das Senden von Archiven mit ausführbaren Dateien ermöglichen kann. Witzig, weil Google Mail in der Lage ist, verschlüsselte, kennwortgeschützte Zip-Dateien zu "unterbrechen", um Benutzer vor dem Senden ausführbarer Dateien zu "retten", aber beim Umbenennen von Dateien vollständig "stirbt".

18
trejder

Nein, soweit mir bekannt ist, gibt es derzeit keine brauchbaren Angriffsmethoden außer Brute, die das Passwort erzwingen.

4
Xander