La récupération de mot de passe ZIP, expliquée

Ce qu'est réellement la récupération de mot de passe ZIP

La récupération de mot de passe ZIP est le processus consistant à retrouver un mot de passe que vous avez perdu ou oublié, afin de pouvoir ouvrir une archive qui vous appartient déjà. Le mot récupération mérite de la précision. Un ZIP chiffré bien conçu ne restitue pas son mot de passe sur demande, et aucun outil sérieux ne peut lire le mot de passe directement dans le fichier. Ce que fait un outil de récupération, c'est générer des mots de passe candidats, les tester rapidement et confirmer quand l'un est correct. Si votre mot de passe est fort et aléatoire, ce test peut durer plus longtemps que toute durée à l'échelle humaine. La récupération fonctionne quand le mot de passe n'est pas aléatoire : s'il s'agit d'un mot, d'un nom, d'une date ou d'un motif que vous avez choisi et dont vous vous souvenez en partie, une liste ou un masque peut le couvrir, et une telle recherche peut se terminer en quelques secondes ou minutes, comme le montrent les estimations illustratives de la durée d'une récupération.

WinZip AES n'offre aucun raccourci autour de son chiffrement, et ZipCrypto n'en offre qu'au propriétaire qui garde une copie non chiffrée de l'un des fichiers de l'archive (voir ZipCrypto expliqué) ; pour un outil qui teste des mots de passe, le seul levier est donc la taille de la recherche. Plus vous pouvez décrire de choses sur le mot de passe que vous avez défini, plus l'espace des candidats se réduit, et plus une recherche a de chances de se terminer. ZipRecover est construit autour de cette idée : dites-lui ce dont vous vous souvenez, et il effectue la vérification méthodique. Si votre but est simplement d'ouvrir un ZIP protégé par mot de passe sans le mot de passe, les mêmes approches s'appliquent, vues sous cet angle.

Les trois approches

Chaque stratégie d'essai de mots de passe est une façon différente de générer des candidats à tester. Trois d'entre elles comptent dans l'usage quotidien.

• Dictionnaire. Vous fournissez une liste de mots de passe probables, et l'outil essaie chacun, éventuellement avec de petites variations comme la casse ou un chiffre à la fin. C'est la voie la plus rapide quand vous avez une bonne idée de ce que vous avez choisi.
• Masque ou motif. Vous décrivez la forme du mot de passe avec des marqueurs, par exemple un préfixe connu suivi de quatre chiffres. Seuls les candidats qui correspondent à la forme sont générés, ce qui garde la recherche petite même si vous ne vous rappelez pas chaque caractère.
• Force brute. L'outil essaie toutes les combinaisons d'un jeu de caractères choisi jusqu'à une longueur choisie. Elle n'exige aucun souvenir du mot de passe, mais le nombre de combinaisons croît très vite, elle ne reste donc réaliste que pour les mots de passe courts.

Quand chacune convient

Comment la méthode de chiffrement change ce qui est faisable

Le format ZIP prend en charge deux schémas très différents, et celui qu'utilise votre fichier influe sur la récupération plus que n'importe quelle option de l'outil.

• ZipCrypto est la méthode héritée intégrée au format ZIP d'origine. Elle est faible selon les standards modernes, et chaque candidat est très peu coûteux à tester, si bien que les dictionnaires, les masques et même des recherches par force brute modestes sont praticables.
• WinZip AES est la méthode forte et moderne. Elle dérive une clé avec PBKDF2 exécutant mille itérations de HMAC-SHA1 pour chaque candidat, à dessein, afin de rendre le test en masse lent. Les dictionnaires et les masques serrés valent toujours la peine ; une force brute large, généralement non.

Un mot de passe court ou devinable avec l'une ou l'autre méthode peut être trouvé en quelques secondes ou minutes quand un dictionnaire ou un masque le couvre, tandis qu'un mot de passe fort et aléatoire sur une archive AES reste en pratique hors d'atteinte en devinant. Cette limite, c'est le chiffrement qui fait son travail. Les détails se trouvent sur les pages WinZip AES et ZipCrypto.

Pourquoi la récupération locale, dans le navigateur, est plus privée

De nombreux services de récupération en ligne vous demandent d'envoyer votre archive sur leurs serveurs. Cela remet une copie de vos données privées, le fichier même que vous essayez de protéger, à un tiers que vous ne contrôlez pas. ZipRecover adopte l'approche inverse. L'archive est lue dans votre navigateur et chaque candidat est testé sur votre propre machine. L'archive, les noms de ses fichiers et les mots de passe essayés ne sont jamais envoyés, il n'y a donc aucune copie côté serveur à qui faire confiance, qui pourrait être compromise ou conservée. Pour un fichier qui méritait d'être chiffré au départ, le garder sur votre appareil est le choix par défaut le plus sensé.

Ce qui détermine vraiment le succès

Quatre facteurs concrets décident de l'issue :

• Ce dont vous vous souvenez. Chaque détail que vous pouvez fournir réduit la recherche.
• La vraie force du mot de passe. La longueur et l'aléa comptent bien plus qu'un symbole isolé.
• La méthode de chiffrement. AES est radicalement plus lent à tester que ZipCrypto.
• La stratégie que vous choisissez. Un dictionnaire ou un masque ciblé peut réduire une recherche de milliers de milliards de candidats à quelques milliers.

Ajustez vos attentes en conséquence. Si vous avez choisi le mot de passe vous-même et pouvez le décrire, vos chances sont bien meilleures. S'il a été généré pour être fort et que vous n'en avez aucun souvenir, vous ne retrouverez pas l'accès en devinant. Dans tous les cas, n'utilisez ZipRecover que sur des archives que vous possédez ou êtes autorisé à ouvrir. S'il s'agit d'un mot de passe que vous avez défini vous-même, la liste de contrôle mot de passe ZIP oublié est l'endroit où commencer.