Windowsパスワードで保護されたZipファイルはどのくらい安全ですか？
機密情報をクライアントに送信する必要があります。 Windowsを使用して作成したパスワードで保護されたZipファイルを電子メールで送信すると思いましたXP次に、パスワードを使用して呼び出します。適切なパスワードを選択した場合、このアプローチはどの程度安全ですか？パスワードで保護されたZipファイルを解読するには？
パスワードで保護されたZipファイル（OSに統合された「圧縮フォルダ」ユーティリティを使用）を作成する場合、Windows XPはZipファイルに「標準」の暗号化アルゴリズムを使用します。これは自家製のストリーム暗号です。 、そしてそれは weak です。13バイトの既知のプレーンテキストがあるため、攻撃の複雑さは約2です。38 PCで数時間で実行できる操作。 13バイトは比較的簡単に取得できます（たとえば、アーカイブ内のファイルの1つがイメージの場合、おそらく圧縮されておらず、既知のヘッダーで始まります）。特にアーカイブ内のファイルは個別に暗号化されているが、適切な鍵の多様化がないため、結果は 改善 でさえあります。数年前（少し前に、-tempus fugit）、- Ivan Golubev によるパスワードクラッキングソフトウェアを見たことがあります。これは、この科学を有効に活用し、Zip暗号化をクラックする可能性があります一時間後。
Zip暗号化に対する攻撃は、実際には次のとおりです。
- 暗号解読の素晴らしい導入。
- プログラミングの良い練習。
- 自分の暗号をロールバックしないでください であることを思い出してください。 Phil Katzは彼の領域では非常に優れていましたが、世界で最高の暗号技術者は、安全なアルゴリズムを作成するために1人の非常に優れた暗号技術者よりもはるかに多くの時間が必要であることを教えてくれます-熱心に提案するmany暗号技術者設計して、一見堅牢な設計が現れるまで数年間、他の設計を壊そうとします（「堅牢」とは、「おそらく、へこみを作る可能性があるという考えを支持するためのわずかな議論を誰も見つけられなかったことを意味します」不特定の日付」）。
ここで、新しいAESベースの暗号化をサポートするツールを使用する場合、形式と実装がおかしくなく、パスワードに十分なエントロピーがあれば、状況は良くなります。ただし、このようなZipファイルは、標準のWinXP Explorerでは開けません。
外部ツールが必要な場合は、フォーマット仕様と実装の両方で、セキュリティについて徹底的に分析されたツールを使用することもできます。つまり、@ D.W。提案： GnuPG 。
自己復号化アーカイブに関しては、それらはすべて間違っています。つまり、決して実行すべきでないことを実行するユーザーに依存しているためです。メールで受け取りました。彼がdoes送信した自己復号型アーカイブを開いた場合、このアクションにより、野生のインターネットをローミングする無数のウイルス/ワーム/あらゆるものに対して脆弱であることを証明します。彼はおそらくキーロガーを含むさまざまなマルウェアにすでに感染しているでしょう。
それにもかかわらず、特定の状況では、自己復号化アーカイブを合理的にする方法があります。クライアントに新しいソフトウェアをインストールする必要がありますが、少なくともMicrosoftから直接です File Checksum Integrity Verifier -ファイルハッシュを計算するツールの膨大な名前。自己復号化アーカイブをクライアントに送信し、クライアントにファイルとして保存してもらいます（なしもちろん実行します）。次に、FCIVを実行して、ファイルのSHA-1ハッシュを取得します。あなたの側でも同じことをしてください。最後に、2つのハッシュを電話で比較します（40桁の16進文字を指示することは難しくありません）。 2つのハッシュが一致する場合、クライアントは転送中にファイルが変更されていないことを認識し、自信を持って実行できます。
（つまり、クライアントがあなたを信頼していて、その信頼がある場合yourマシンは、アーカイブの送信中に感染した可能性のあるウイルスで一杯ではありません。）
機密データについては、パスワードで保護されたZipまたは7Zipアーカイブを使用することに少し消極的です。彼らが使用する暗号化の現在のバージョンは、独立した研究者によって十分に研究または吟味されていません。古いバージョンのソフトウェアにはセキュリティ上の弱点があり、それが懸念の穏やかな原因です。新しいバージョンでも大丈夫かもしれませんが、それらは個別にレビューされていないので、私はそれらに多くの信頼を置くことに消極的です。理想的には、GPGやPGPのようなものがより良いです。
パスワードによる暗号化は脆弱になる傾向があることに注意してください。ほとんどの人は、オフライン検索（辞書攻撃、徹底的な検索など）から保護するのに十分なエントロピーを持たないパスワードを選択します。さらに、長くて強力なパスワードは使用するのに不便であり、それらに対するさらなる阻害要因を提供します。
自己解凍型の.exeファイルを送信しないことをお勧めします。これはセキュリティ上のリスクです。自己解凍型の.exeファイルを送信する場合は、メールで.exe添付ファイルを受信して実行するようにトレーニングします。セキュリティの観点から、これは非常に危険な方法です。 Zipと7Zipがこの慣行を奨励しているという事実は、セキュリティを無視している兆候だと思います。
パスワードベースの暗号化を使用する必要がある場合は、以下をお勧めします： GPGまたはPGPを使用します（例：gpg -c）。 GPGの暗号化のセキュリティは十分に研究されており、強力です。長くて強力なパスワードを使用します。たとえば、ユーティリティを使用して暗号的にランダムなパスワードを生成します。 14〜16文字のランダムな文字で、パターンがまったくないパスワードが必要です。
これはおそらく、クライアントが使用する最も簡単なオプションであり、強力な保護を提供します。
セキュリティを強化したい場合は、暗号化されたデータをCDまたはDVDに保存し、CDまたはDVDを（電子メールではなく）Fedexで送信してください。これにより、2層のセキュリティが得られます。誰かがCDまたはDVDにアクセスできる場合と、データを復号化するためのパスワードを持っている場合にのみ、誰かがデータを盗むことができます。
クライアントでPGPまたはGPGの使用に問題がある場合は、最新バージョンのZipまたは7Zipのパスワード暗号化を使用できます。その場合は、自己解凍型の.exeファイルを避け、暗号化されたデータをインターネットではなくメール（CDまたはDVD）で送信する傾向があります。
または：クライアントが技術的に精通していて、クライアントと頻繁に通信している場合、別のオプションは、GPGまたはPGPを使用してランダムな公開キーペアを生成し、公開キーを送信することです。公開鍵でデータを暗号化します。これにより、GPGまたはPGPの使用方法を知っている場合は、セキュリティが強化されます。ただし、直感的ではないため、平均的なクライアントにデータを送信することはおそらく不可能です。
パスワードで保護されたZipファイルを解読することはそれほど難しくありません。パスワードを見つけたり、パスワードを削除したりするためのアプリはたくさんあります。
おそらく、あなたと彼らの間の電子メールを傍受する人はいないでしょう。パブリックメールサーバーには、それらの間を流れる大量のデータがあります。メールにパスワードを付けるだけで十分でしょう。より安全なものが必要な場合は、添付ファイルが送信されるメールの暗号化を確認するか、ファイルをドロップボックスなどの安全なドロップ場所に投稿してください（はい、数週間前に発生した問題を認識しています）。リンク。
私はアドホックな暗号化メカニズムとしてパスワードで保護されたZipファイルを使用しました（可能な場合はGPGを使用することを好みます）。多くはZipファイルのパスワード回復で構成されていますが、現在のバージョンを使用している限り、実際的な回復メカニズムはブルートフォースのみです。 7-ZipとWinzipはどちらもAES-256をサポートしていると思います。クライアントがすでにWinzipを持っている場合は、それを使用します（「レガシー」暗号化ではなくAESを使用していることを確認してください）。
これを使用する上で最も重要な点はパスワードです（16文字以上のパスフレーズを使用し、いくつかの特殊文字を含めることをお勧めします）。パスフレーズにはブルートフォースが難しいという利点があり、電話で比較的簡単に交換できます。
これは決して完璧なメカニズムではありませんが、（データの機密性によっては）目的には十分である可能性があります。
デュアルGTX 295を使用すると、4文字のパスワードを1時間以内に回復できます。
http://is.hut.vn/~phongph/uploads/publications/1277074631.pdf