Команда CentOS zip - добавление пароля - какой тип шифрования (если есть) предоставляется?
С включенной утилитой zip в CentOS5 (команда zip): т.е. /usr/bin/zip -P $ZIP_PASS ...
Я не смог найти никакой документации по этому вопросу. Я пытаюсь выяснить, насколько безопасен пароль. Это зашифровано? Как это защищено, если не с шифрованием?
Спасибо
2 ответа
Хорошо, я нашел ответ, который искал.... От http://en.wikipedia.org/wiki/ZIP_%28file_format%29 и http://en.wikipedia.org/wiki/Known-plaintext_attack
Зашифрованные файловые архивы, такие как ZIP, подвержены этой атаке. Например, злоумышленнику с зашифрованным ZIP-файлом требуется (частично) только один незашифрованный файл из архива, который образует "известный открытый текст".[4][5] Затем с помощью некоторого общедоступного программного обеспечения они могут быстро рассчитать ключ, необходимый для расшифровки всего архива. Чтобы получить этот незашифрованный файл, злоумышленник может найти на веб-сайте подходящий файл, найти его в другом архиве, который он может открыть, или вручную попытаться восстановить открытый текстовый файл, вооруженный знанием имени файла из зашифрованного архива.
Итак... zip-файл не полностью безопасен - но со случайными именами файлов (если они реализованы правильно) для файла (-ов) внутри zip-файла и немедленным удалением незашифрованного файла (который также недоступен через Интернет) - это представляется возможным решением...
Дополнительные ресурсы: http://linux.101hacks.com/archive-compression/password-protection-for-zip-files/
Тем не менее, чем больше я читаю, AES 256-битных зашифрованных ZIP-файлов 7zip (после установки на сервере) гораздо, гораздо более безопасным. Он также не подвержен известной атаке открытым текстом.
Да, это зашифровано. Согласно инструкции:
-P password
use password to encrypt zipfile entries (if any). THIS IS INSECURE! Many multi-user operating
systems provide ways for any user to see the current command line of any other user; even on
stand-alone systems there is always the threat of over-the-shoulder peeking. Storing the
plaintext password as part of a command line in an automated script is even worse. Whenever
possible, use the non-echoing, interactive prompt to enter passwords. (And where security is
truly important, use strong encryption such as Pretty Good Privacy instead of the relatively
weak encryption provided by standard zipfile utilities.)
Это можно найти при запуске man zip на машине с CentOS.
Как отмечается в ручном вводе, для обеспечения высокой безопасности нецелесообразно использовать пароль в команде для архивирования файла, так как другие могут проверить список процессов и увидеть пароль в виде архива.
Я не знаю, какое шифрование это использует, но я просмотрел некоторые из них, и они не выглядят хорошими. Есть несколько похожих вопросов о стекопереходе к этому. Рассмотрите возможность использования другой библиотеки zip, если шифрование действительно важно, используйте что-то, что позволяет AES, например, GPG.