Tiene un archivo zip que creó con 7z para protegerlo con contraseña con AES 128. ¿Puede un adversario inteligente extraer los datos solo a través de la fuerza bruta, o el archivo es vulnerable a otros ataques, como por ejemplo, no lo hago? ¿Saber, poder omitir la contraseña y extraer los datos?
Los archivos ZIP están cifrados con AES-256, y la clave se deriva mediante una función de derivación de clave lenta (KDF), que hace que los ataques de diccionario y fuerza bruta no sean factibles. Actualmente no hay formas conocidas de omitir el cifrado.
En el significado directo, mencionaste ( extrayendo datos ), no. Pero tenga en cuenta, sin embargo, que cualquier programa (o usuario), en cualquier archivo ZIP protegido con contraseña, puede ( sin saber la contraseña ):
Los archivos ZIP también se pueden " romper " en el sentido de que puede sobrescribir un archivo existente protegido por contraseña, almacenado dentro del archivo ZIP, con otro archivo, con el mismo nombre, sin saber la contraseña .
Todas estas operaciones mencionadas no le dan al atacante acceso a los contenidos (él o ella aún no puede extraer datos ), solo enumerarlos o destruirlos. Así que menciono esto solo como posibles efectos secundarios, puede que no lo sepan. Algunas personas tratan esto como fugas de seguridad, lo que indica que, por estos motivos, los archivos ZIP son inseguros, pero otros asumen que la seguridad no se viola, incluso con estas "adiciones" mencionadas.
Dado que los contenidos del archivo ZIP se pueden cambiar, sin conocer la contraseña, al reemplazar un archivo protegido por contraseña con otro, podemos hablar sobre la total inseguridad en términos psicológicos (ingeniería social, piratería, etc.). El atacante puede alterar el contenido del archivo ZIP, sin saber la contraseña y reclamar a su víctima que no ha cambiado. La víctima, sin saber los efectos secundarios mencionados anteriormente, puede asumir incorrectamente que el archivo no se ha modificado o que su contenido no se ha modificado, ya que él o ella (la víctima) es la única persona, que conoce la contraseña.
Aquí tiene mi simple pregunta sobre la seguridad de los archivos ZIP , que resultó ser una muy buena lectura, con muchas respuestas y comentarios útiles.
1 Intente enviar un ZIP cifrado, protegido por contraseña, que contenga un archivo EXE a través de Gmail para ver esto "en acción". Gmail podrá detectar que está enviando un archivo ejecutable (y le impide hacerlo) aunque no sepa la contraseña, su ZIP está protegido. Nota al margen: también es divertido y sorprendente, al cambiar el nombre del mismo archivo, al darle una extensión diferente (es decir, file.not-zip) puede desarmar completamente este mecanismo de "protección" y permitirle enviar un archivo que contenga un archivo ejecutable. Es curioso, porque Gmail es capaz de "romper" un ZIP cifrado y protegido por contraseña para "salvar" al usuario de enviar archivos ejecutables, pero "muere" completamente al cambiar el nombre del archivo.