La recuperación de contraseñas ZIP, explicada

Qué es en realidad la recuperación de contraseñas ZIP

La recuperación de contraseñas ZIP es el proceso de encontrar una contraseña que has perdido u olvidado para poder abrir un archivo que ya posees. La palabra recuperación merece precisión. Un ZIP cifrado bien hecho no devuelve su contraseña cuando se le pide, y ninguna herramienta seria puede leer la contraseña directamente del archivo. Lo que hace una herramienta de recuperación es generar contraseñas candidatas, probarlas rápido y confirmar cuando una es correcta. Si tu contraseña es fuerte y aleatoria, esa prueba puede llevar más tiempo que cualquier escala humana. La recuperación funciona cuando la contraseña no es aleatoria: si es una palabra, un nombre, una fecha o un patrón que elegiste y puedes recordar en parte, una lista o una máscara puede cubrirla, y esa búsqueda puede terminar en segundos o minutos, como muestran las estimaciones ilustrativas de cuánto tarda la recuperación.

WinZip AES no tiene ningún atajo que rodee su cifrado, y ZipCrypto solo lo tiene para el propietario que conserva una copia sin cifrar de uno de los archivos del ZIP (consulta ZipCrypto explicado), así que para una herramienta que prueba contraseñas la única palanca es el tamaño de la búsqueda. Cuanto más puedas describir sobre la contraseña que pusiste, más pequeño se vuelve el espacio de candidatas, y más probable es que una ejecución termine. ZipRecover está construido en torno a esa idea: tú le dices lo que recuerdas y la herramienta hace la comprobación metódica. Si tu objetivo es simplemente abrir un ZIP protegido con contraseña sin la contraseña, los mismos enfoques se aplican, vistos desde ese ángulo.

Los tres enfoques

Toda estrategia de adivinación es una manera distinta de generar candidatas para probar. Tres de ellas importan en el uso cotidiano.

• Diccionario. Proporcionas una lista de contraseñas probables, y la herramienta prueba cada una, opcionalmente con pequeñas variaciones como el uso de mayúsculas o un dígito al final. Esta es la vía más rápida cuando tienes una buena idea de lo que elegiste.
• Máscara o patrón. Describes la forma de la contraseña con marcadores, por ejemplo un prefijo conocido seguido de cuatro dígitos. Solo se generan candidatas que encajan con la forma, lo que mantiene la búsqueda pequeña incluso cuando no recuerdas cada carácter.
• Fuerza bruta. La herramienta prueba todas las combinaciones de un conjunto de caracteres elegido hasta una longitud elegida. No necesita recordar la contraseña, pero el número de combinaciones crece muy rápido, así que solo es realista para contraseñas cortas.

Cuándo encaja cada uno

Cómo el método de cifrado cambia lo que es viable

El formato ZIP admite dos esquemas muy diferentes, y cuál usa tu archivo afecta a la recuperación más que cualquier opción de la herramienta.

• ZipCrypto es el método heredado integrado en el formato ZIP original. Es débil según los estándares modernos, y cada candidata es muy barata de probar, así que los diccionarios, las máscaras e incluso ejecuciones de fuerza bruta modestas son prácticos.
• WinZip AES es el método fuerte y moderno. Deriva una clave con PBKDF2 ejecutando mil iteraciones de HMAC-SHA1 por cada conjetura, a propósito, para hacer lenta la prueba masiva. Los diccionarios y las máscaras ajustadas siguen mereciendo la pena; la fuerza bruta amplia normalmente no.

Una contraseña corta o adivinable en cualquiera de los dos métodos puede encontrarse en segundos o minutos cuando un diccionario o una máscara la cubren, mientras que una contraseña aleatoria y fuerte en un archivo AES está, en la práctica, fuera de alcance por adivinación. Ese límite es el cifrado cumpliendo su función. Los detalles están en las páginas de WinZip AES y ZipCrypto.

Por qué la recuperación local, en el navegador, es más privada

Muchos servicios de recuperación en línea te piden que subas tu archivo a sus servidores. Eso entrega una copia de tus datos privados, el mismo archivo que intentas proteger, a un tercero que no controlas. ZipRecover adopta el enfoque opuesto. El archivo se lee en tu navegador y cada candidata se prueba en tu propia máquina. El archivo, los nombres de su contenido y las contraseñas que pruebas nunca se suben, así que no hay copia de ellos del lado del servidor en la que confiar, que pueda ser vulnerada o retenida. Para un archivo que merece la pena cifrar, mantenerlo en tu dispositivo es la opción sensata por defecto.

Qué determina realmente el éxito

Cuatro factores concretos deciden el resultado:

• Cuánto recuerdas. Cada detalle que puedas aportar reduce la búsqueda.
• La verdadera fortaleza de la contraseña. La longitud y la aleatoriedad importan mucho más que cualquier símbolo aislado.
• El método de cifrado. AES es muchísimo más lento de probar que ZipCrypto.
• La estrategia que elijas. Un diccionario o una máscara enfocados pueden reducir una búsqueda de billones de candidatas a unos miles.

Ajusta las expectativas en consecuencia. Si tú mismo elegiste la contraseña y puedes describirla, tus probabilidades son mucho mejores. Si se generó para ser fuerte y no la recuerdas, adivinar no te dará acceso. En cualquier caso, usa ZipRecover solo en archivos que poseas o estés autorizado a abrir. Si esta es una contraseña que tú mismo pusiste, la lista de comprobación para una contraseña ZIP olvidada es el lugar por donde empezar.