Команда CentOS zip - добавление пароля - какой тип шифрования (если есть) предоставляется? - PullRequest
0 голосов
/ 08 ноября 2011

С включенной утилитой zip в CentOS5 (команда zip): т.е. /usr/bin/zip -P $ZIP_PASS ...

Я не смог найти никакой документации по этому вопросу.Я пытаюсь выяснить, насколько безопасен пароль.Это зашифровано?Как это защищено, если не с шифрованием?

Спасибо

Ответы [ 2 ]

2 голосов
/ 09 ноября 2011

Хорошо. Я нашел ответ, который искал .... От http://en.wikipedia.org/wiki/ZIP_%28file_format%29 и http://en.wikipedia.org/wiki/Known-plaintext_attack

Зашифрованные файловые архивы, такие как ZIP, подвержены этой атаке.Нужно] Например, злоумышленнику с зашифрованным ZIP-файлом требуется только (часть) один незашифрованный файл из архива, который образует «известный открытый текст». [4] [5]Затем с помощью некоторого общедоступного программного обеспечения они могут быстро рассчитать ключ, необходимый для расшифровки всего архива.Чтобы получить этот незашифрованный файл, злоумышленник может найти на веб-сайте подходящий файл, найти его в другом архиве, который он может открыть, или вручную попытаться восстановить открытый текстовый файл, вооруженный информацией о имени файла, из зашифрованного архива.

Итак ... zip-файл не полностью безопасен - но со случайными именами файлов (если они реализованы правильно) для файлов (-ов) внутри zip-файла и немедленным удалением незашифрованного файла (который также не является веб-файлом).доступный) - это ВОЗМОЖНОЕ решение ...

Больше ресурсов: http://linux.101hacks.com/archive-compression/password-protection-for-zip-files/

Однако, чем больше я прочитал, 256-битных зашифрованных AES AES на 7zip (после установки на сервер) намного, намного безопаснее.Он также НЕ подвержен известной атаке открытым текстом.

1 голос
/ 08 ноября 2011

Да, он зашифрован.Согласно руководству:

-P password
          use password to encrypt zipfile entries (if any).  THIS IS INSECURE!  Many multi-user operating
          systems provide ways for any user to see the current command line of any other  user;  even  on
          stand-alone  systems  there  is  always  the  threat of over-the-shoulder peeking.  Storing the
          plaintext password as part of a command line in an automated script is  even  worse.   Whenever
          possible,  use  the non-echoing, interactive prompt to enter passwords.  (And where security is
          truly important, use strong encryption such as Pretty Good Privacy instead  of  the  relatively
          weak encryption provided by standard zipfile utilities.)

Это только что выяснилось при запуске "man zip" на машине centOS.

Как отмечается в ручном вводе, для высокой безопасности нецелесообразно использовать пароль в команде для архивирования файла, так как другие могут проверить список процессов и увидеть пароль как ZIP.* Я не знаю, какое шифрование это использует, но я осмотрел некоторые из них, и, похоже, это не очень хорошо.Есть несколько похожих вопросов о стекопереходе к этому.Рассмотрите возможность использования другой библиотеки zip, если шифрование действительно важно, используйте то, что позволяет AES, например, GPG.

...