Quão seguros são os arquivos ZIP protegidos por senha?

A segurança depende do método, não da caixa de senha

Um ZIP que pede uma senha pode parecer igualmente seguro seja qual for a ferramenta que o criou, mas essa sensação é enganosa. A caixa de senha tem a mesma aparência em ambos os casos. O que realmente protege seus arquivos é o esquema de criptografia que o arquivo compactado usa por baixo, e o formato ZIP suporta dois esquemas muito diferentes. Saber qual você tem é a diferença entre um arquivo que uma pessoa determinada consegue abrir e um arquivo que permanece fechado.

Os dois esquemas que você encontrará

O ZipCrypto tradicional é fraco

A criptografia PKWARE original, geralmente chamada de ZipCrypto, é uma cifra de fluxo simples com um estado interno de 96 bits e sem alongamento de chave, então um computador pode testar senhas candidatas muito rápido. Pior, ela tem uma falha estrutural bem documentada. Em 1994, Eli Biham e Paul Kocher publicaram um ataque de texto claro conhecido sobre a cifra do PKZIP: dados pelo menos 12 bytes conhecidos de uma entrada como ela é armazenada no arquivo compactado (já comprimida, 8 deles seguidos), um atacante pode recuperar as chaves internas e descriptografar todo o arquivo compactado sem nunca tentar adivinhar a senha. Como o ataque funciona sobre o estado da cifra, e não sobre a senha, uma senha mais longa não protege contra ele. O ZipCrypto serve para manter pessoas honestas fora de arquivos triviais, mas não se deve confiar a ele nada que você não queira ver nas mãos de um estranho competente.

O WinZip AES é forte

O esquema moderno, o WinZip AES, substitui essa cifra pelo Advanced Encryption Standard em 128, 192 ou 256 bits. Ele deriva a chave da sua senha com PBKDF2-HMAC-SHA1 ao longo de 1000 iterações e um sal aleatório, depois autentica cada entrada com um HMAC-SHA1 truncado em um design de criptografar e depois autenticar. O AES não tem atalho prático, e o custo deliberado do PBKDF2 torna cada tentativa cara. A combinação significa que, com uma boa frase secreta, o arquivo compactado não é quebrável por tentativa e erro em nenhum hardware que você provavelmente venha a enfrentar. Essa proteção está embutida no esquema; máquinas mais rápidas barateiam cada tentativa, mas esgotar o espaço de chaves de uma boa frase secreta continua muito fora de alcance.

Como os dois se comparam

A distância entre os dois não é sutil. Contra o ZipCrypto, um atacante que conheça pelo menos 12 bytes de uma entrada como ela é armazenada (já comprimida) pode descriptografar o arquivo compactado sem a senha e, onde esse atalho não se aplica, a ausência de alongamento de chave ainda permite que uma máquina tente números enormes de tentativas por segundo. Contra o WinZip AES nenhum desses caminhos está aberto. É por isso que o método importa muito mais do que quão longa ou engenhosa a senha parece.

O que a criptografia não oculta

Mesmo a criptografia forte protege menos do que as pessoas esperam. Nem o ZipCrypto nem o WinZip AES padrão criptografam o diretório central do arquivo compactado, então a lista de nomes de arquivos, seus tamanhos e suas datas de modificação permanece em texto claro. Alguém que não consegue ler um único byte dos seus dados ainda pode ver que o arquivo compactado contém salario-2026.xlsx e digitalizacao-passaporte.pdf, e aproximadamente o tamanho de cada um. O conteúdo está protegido; os rótulos do conteúdo não estão.

Orientação prática

Use AES em vez de ZipCrypto sempre que os dados importarem, e prefira AES-256 quando a ferramenta oferecer a escolha. Uma cifra forte só ajuda se a frase secreta também for forte, então use uma frase secreta longa e exclusiva em vez de uma palavra curta que você reutiliza. Depois guarde essa frase secreta em um gerenciador de senhas, porque o AES é feito para ser implacável: se você a esquecer, não há redefinição que devolva o acesso. Nosso guia de proteção de um arquivo ZIP com senha mostra as configurações exatas a usar, e a visão geral de arquivos ZIP criptografados explica como as peças se encaixam.

Mantenha também o tamanho da chave em perspectiva. O AES-128 já está muito além da força bruta, então subir para o AES-256 é um padrão sensato, e não um resgate de alguma fraqueza real. Na prática, a força da sua frase secreta, e não o número de bits na cifra, decide se o arquivo compactado resiste.

O que essa diferença significa para recuperar a sua própria senha

O ZipCrypto é muito rápido de testar, então uma busca por uma senha ZipCrypto esquecida percorre muito mais candidatas por segundo do que uma busca em AES. Se ela encontra a senha ainda depende da dica que você consegue dar, e não temos dados sobre com que frequência isso acontece. Se você também tiver uma cópia não criptografada de um arquivo de dentro do arquivo compactado e conseguir reproduzir pelo menos 12 dos seus bytes como são armazenados (já comprimidos, 8 deles seguidos), ferramentas especializadas podem explorar a fraqueza de texto claro conhecido para descriptografar o arquivo compactado sem a senha (o ZipRecover não usa esse ataque; ele testa senhas candidatas).

O AES é lento por design. Cada tentativa executa toda a derivação PBKDF2, então a recuperação depende de restringir a busca com uma boa lista de palavras ou um padrão que você lembre. Não há desbloqueio instantâneo para uma senha AES forte e aleatória, e qualquer produto que afirme o contrário exagera. Um sinal rápido ao inspecionar um arquivo: entradas AES carregam um sal, um valor de verificação e um código de autenticação, então arquivos muito pequenos parecem um pouco maiores do que sob ZipCrypto. Quando estiver pronto, a recuperação no dispositivo roda no seu navegador.