Parola korumalı zip gerçekte ne kadar güvenli?

Parola korumalı bir zip ya gerçekten güçlüdür ya da fiilen süstür, ve arşiv hangisini yaptığınıza dair gözle görünür bir işaret vermez. Fark şifreleme şemasındadır — ve varsayılan genelde kötü olanıdır.

Aynı adı taşıyan iki şema

ZipCrypto (ZIP 2.0) 1990'dan kalma orijinal şemadır. Kırıktır. Saldırganın tahmin edebildiği makul miktarda içerik verildiğinde bilinen-düz-metin saldırısı iç durumu geri çıkarır — ve "saldırganın tahmin edebildiği içerik", arşivler standart bir başlık, tanıdık bir logo ya da saldırganın zaten bir kopyasına sahip olduğu bir dosya içerdiğinde kolaydır. Bunu yapan araçlar ücretsizdir ve dakikalar içinde çalışır.

AES-256 (WinZip AES) modern şemadır. Böyle bir zayıflığı yoktur. AES-256'ya karşı tek yol parolayı tahmin etmektir; bu da arşivin tüm güvenliğini o parolanın ne kadar iyi olduğuna bağlar.

Araçlarınız gerçekte ne üretiyor

Pratik sonucu can sıkıcı: kutudan çıkan Windows ya da Mac'te zip yapmanın bariz yolu hiç şifreleyemiyor, terminalden parola eklemenin bariz yolu ise kırık olanı üretiyor. Güçlü şifreli bir zip elde etmek bir şey kurmayı gerektiriyor.

Kimsenin beklemediği sızıntı: dosya adları

Standart bir şifreli zip'te arşivin dizini şifrelenmez. Dosya içerikleri korunur; adlar, boyutlar, klasör yapısı ve zaman damgaları dosyaya sahip olan herkes tarafından parolasız okunabilir.

Hassas olan kısım çoğu zaman tam da budur. 2026-Q3-isten-cikarma-son.xlsx, tahlil-sonucu-soyad.pdf ve pasaport-tarama.jpg tek bir bayt çözülmeden hikâyeyi anlatır. Adlar önemliyse düz şifreli zip yanlış kaptır: 7-Zip'in .7z biçiminde Dosya adlarını şifrele seçeneği dizini de gizler ve o kutu varsayılan olarak işaretli değildir.

Bir de parolanın kendisi var

AES-256 ile hedef şifre algoritması değil, sizsiniz. Arşive karşı çevrimdışı tahmin, GPU'da muazzam hızda çalışır; hız sınırı yok, kilitlenme yok, çünkü saldırgan dosyayı elinde tutar ve sonsuza kadar deneyebilir. Sözlükteki bir kelime artı bir yıl saniyeler içinde düşer. Bir isim ve doğum tarihi saniyeler içinde düşer.

Ayakta kalan şey uzunluktur: birbiriyle ilgisiz dört beş kelime ya da üretilmiş bir parola cümlesi. Ve arşivden ayrı yolculuk etmesi gerekir — zip'i e-postayla gönderip parolayı da e-postayla göndermek ikisini aynı posta kutusuna koyar ve bütün işi tiyatroya çevirir. Telefonda söyleyin, başka bir uygulamadan yollayın ya da sırrın yükün yanına yazılmadığı bir kanal kullanın.

Zip'in yine de doğru araç olduğu yerler

• Çok dosyayı tek pakette toplamak — zip'in asıl işi budur.
• Kendi denetimindeki bir diskte arşivlemek; orada uzun bir parola cümlesiyle AES-256 gayet makuldür.
• Teknik bir alıcıya dosya vermek — 7-Zip'i kesin olan ve parolayı ayrı kanaldan iletebileceğiniz biri.

İşin ters gittiği yer, teknik olmayan bir alıcıya transfer yöntemi olarak kullanılmasıdır: karşı taraf açamayabileceği bir dosya alır, üstüne bir de güvenle teslim etmeniz gereken bir parola çıkar. Zor problemi ortadan kaldırmadınız, yerini değiştirdiniz — ve üstüne bir destek araması eklediniz. Dosya saklanmıyor da gönderiliyorsa, transferin parçası olarak yapılan şifreleme aynı sorunu alıcıya hiçbir şey kurdurmadan çözer.

Diğer rehberler