ZipCrypto : le chiffrement ZIP d'origine

Le chiffrement ZIP d'origine

ZipCrypto est le nom couramment donné à la méthode de chiffrement traditionnelle que PKWARE a intégrée au format ZIP entre la fin des années 1980 et le début des années 1990. Pendant de nombreuses années, ce fut le seul moyen de protéger un ZIP par mot de passe, et parce qu'il fait partie de la spécification d'origine, pratiquement tous les outils d'archivage peuvent le lire. Cette prise en charge universelle est la principale raison pour laquelle on le rencontre encore aujourd'hui, longtemps après que ses faiblesses ont été clairement établies.

Vous le verrez sous plusieurs noms. La spécification PKWARE d'origine l'appelle chiffrement traditionnel ; certains outils l'étiquettent ZipCrypto, d'autres simplement Standard ou Zip 2.0. Tous désignent le même algorithme décrit ici, de sorte que l'étiquette affichée par un programme particulier ne change ni le comportement de la protection ni la façon de la récupérer.

Comment ça fonctionne

ZipCrypto est un chiffrement par flux. Il conserve un petit état interne de trois valeurs de 32 bits, initialisé à partir de votre mot de passe puis mis à jour en continu à l'aide de la même fonction CRC-32 que le format ZIP utilise déjà pour les sommes de contrôle. Pour chaque octet de données, l'état produit un octet pseudo-aléatoire, qui est combiné au texte clair pour produire le texte chiffré. Le déchiffrement effectue le même processus à l'envers.

Avant les données réelles d'une entrée, ZipCrypto ajoute un en-tête de chiffrement de 12 octets. Ces douze octets sont chiffrés comme le reste de l'entrée et servent à rendre encore plus aléatoire l'état du chiffrement, de sorte que deux entrées protégées par le même mot de passe ne produisent pas des flux de clé identiques.

La vérification rapide du mot de passe

L'en-tête de chiffrement fournit aussi un moyen rapide de rejeter un mauvais mot de passe. Lorsque l'en-tête est déchiffré, son dernier octet, et dans certaines versions les deux derniers octets, est comparé à une valeur que l'outil connaît déjà. Normalement, cette valeur est l'octet de poids fort du CRC-32 de l'entrée. Lorsque l'archive a été écrite en flux continu et stocke sa somme de contrôle dans un descripteur de données à la fin, c'est l'octet de poids fort de l'heure de modification DOS du fichier qui est utilisé à la place.

Cette vérification n'est qu'un filtre. Un seul octet concorde par hasard environ une fois sur 256 essais, si bien qu'au cours d'une longue recherche de nombreux mauvais mots de passe le passent aussi. Un outil fiable confirme un candidat survivant en déchiffrant entièrement l'entrée et en vérifiant son CRC-32. ZipRecover le fait pour les entrées d'au moins 4 octets stockées ou compressées avec Deflate, soit la quasi-totalité des archives ; quand seule une entrée plus courte peut être testée, le résultat indique que le mot de passe n'a réussi qu'une vérification rapide. Il ne peut pas confirmer une entrée compressée avec une autre méthode, comme BZip2, LZMA ou Deflate64 (options proposées par des outils comme 7-Zip) : pour celles-ci, il compare seulement la longueur déchiffrée à la taille enregistrée dans l'archive, et ces deux valeurs ne coïncident presque jamais pour un fichier compressé. Ainsi, quand tous les fichiers chiffrés utilisent une telle méthode, une recherche se termine en général sans correspondance, même quand le bon mot de passe a été essayé. La séquence complète est décrite dans comment ça marche.

Rapide à tester, faible par conception

Comme l'initialisation de la clé n'est qu'un court passage sur le mot de passe et l'en-tête de 12 octets, sans ralentissement délibéré, les mots de passe ZipCrypto peuvent être testés extrêmement rapidement. Une machine moderne peut essayer de très grands nombres de candidats par seconde. Cette vitesse est pratique pendant la récupération, mais c'est aussi exactement ce qui rend le schéma faible : aucun coût n'est imposé à quiconque veut deviner.

Le problème plus profond est structurel. En 1994, Eli Biham et Paul Kocher ont publié une attaque à texte clair connu sur le chiffrement par flux de PKZIP. Si vous connaissez au moins 12 octets d'une entrée chiffrée telle qu'elle est stockée, c'est-à-dire après une éventuelle compression, dont 8 consécutifs, l'attaque peut récupérer directement l'état interne du chiffrement, sans essayer aucun mot de passe. Ces octets connus existent lorsqu'une archive contient un fichier non compressé à l'en-tête prévisible, ou un fichier dont une copie existe aussi en clair ailleurs et peut être recompressée de la même façon. Une fois l'état interne récupéré, chaque entrée chiffrée avec le même mot de passe peut être déchiffrée.

Une comparaison, et une recommandation

Propriété par propriété, la comparaison complète de ZipCrypto et de WinZip AES se trouve dans l'aperçu des fichiers ZIP chiffrés, et la sécurité des ZIP protégés par mot de passe explique ce que cet écart signifie en pratique.

Pour toute nouvelle archive, préférez WinZip AES, qui remplace le chiffrement par flux par AES, ajoute une dérivation de clé PBKDF2 lente et authentifie chaque entrée avec un HMAC. Si vous cherchez seulement à ouvrir une archive que vous possédez déjà, la vitesse de ZipCrypto joue en votre faveur, et ZipRecover détecte le schéma automatiquement lorsque vous chargez le fichier.