Newsgroup: it.comp.sicurezza.crittografia
Titolo: disastro

mio figlio ha messo una password su un file zippato
cosa si può fare per recuperare la password inserita
grazie

 grazie
se la ha messa un significato ci sarà, non trovi?
-- 
Ciao, Dmitry 

 cosa si può fare per recuperare la password inserita
Chiedergliela?
Ciao,
un TJL73 e le valide motivazioni...
-- 
"Ci sedemmo dalla parte del torto
 visto che tutti gli altri posti erano occupati."
                                                       -- Bertold Brecht



Belle risposte, quelle date fino ad ora: alla faccia della
full-disclosure.
La questione e' piuttosto complicata: tempo fa cercavo di recuperare
uno zip in cui la password l'avevo messa io, ma che mi ero scordato.
Mi ricordavo piu' o meno come era fatta: una frase di due o tre
parole, spazi, qualche maiuscola, uno o due segni di punteggiatura. Le
parole che avevo usato potevano essere una tra una cinquantina, ma non
ricordavo assolutamente la disposizione delle maiuscole.
Insomma, mi sono fatto una ricerchina su come fare per recuperare quel
file: a quel punto era diventata una questione di orgoglio.
Intanto bisogna discriminare su quale programma e' stato usato per
creare il file zip. Mettiamo sia WinZip (il piu' diffuso). Dipende
anche dalla versione. Vediamo:
WinZip <8.0: ha un bug nell'algoritmo di cifra che consente di
recuperare la chiave (non la password, e' differente ma il risultato
e' lo stesso) basandosi sulla parte in chiaro che WinZip inserisce per
ogni file. Questa parte in chiaro e' costituita da pochi byte per ogni
file, ed e' il CRC32 del file stesso. Utilizzando questo sistema
sarebbe possibile recuperare la chiave e decifrare l'archivio. Dico
*sarebbe* perche' questo sistema, che ho descritto a grandi linee, e'
stato spiegato e analizzato ma non esistono (=non ho trovato) tool che
ne facciano uso.
Un'altro sistema, di cui il precedente e' un'evoluzione, che puo'
essere usato con Winzip <8.0 e' quello che consente di decifrare
l'intero archivio a patto di aver usato la stessa password per tutti i
file, di avere un archivio con un numero sufficiente di file (4 o 5) e
di possedere almeno uno di questi in versione non cifrata. Questo
sistema e' implementato in vari tool di facile reperimento su
internet, alcuni commerciali, altri sotto vari tipi di licenze free.
Funziona, l'ho provato con un archivio creato apposta, ma non e'
possibile usarlo se dei file contenuti nello zipfile non ne possiedi
neanche uno in chiaro. Fare i "furbi" non funziona: un pezzo di file
(per esempio l'intestazione dei file JPG) non basta.
WinZip 8.1: il bug di cui soffriva la versione 8.0 e' stato eliminato.
Nessuno dei due sistemi funziona con questa versione. E' probabile che
vi siano altri problemi con quell'algoritmo, da molti ritenuto poco
sicuro, ma al momento non se ne conoscono.
WinZip 9.0: E' stato del tutto sostituito l'algoritmo di cifra dei
file zip con password con AES. Non si conoscono problemi nella sua
implementazione.
In tutti i casi summenzionati, e' possibile battere la strada del
password cracking che passa attraverso l'attacco tramite dizionario o
tramite forza bruta.
Nel caso di attacco con dizionario, sicuramente piu' veloce dato il
numero limitato di password da tentare, puoi impostare alcune
variazioni, ma attenzione: partendo da una cinquantina di parole come
nel mio caso, e' facilissimo arrivare a dover tentare milioni di
combinazioni!
Nel caso dell'attacco tramite forza bruta, che significa tentare di
indovinare la password provando TUTTE le possibili combinazioni di
lettere/cifre/simboli che decidi di provare, la password prima o poi
sara' certamente recuperata. Visto che non conosci la lunghezza della
password, puoi solo ipotizzare la sua lunghezza massima, diciamo
quindici caratteri (e' una buona media, ma la mia, ad esempio, era
probabilmente piu' lunga). Devi percio' fare tutti le combinazioni di
lunghezza 1 carattere, 2 caratteri, eccetera fino a 15. Ci potrebbero
volere degli anni, per poi magari accorgersi che la password non e'
stata trovata.
Insomma, se cerchi su internet troverai un sacco di documenti che
lamentano la poca sicurezza dell'algoritmo di cifra usato da winzip (e
altri). In effetti l'algoritmo non e' il massimo, in quanto a
concezione, ma se usato bene (intendo con password molto difficili e
lunghe) ti assicuro che puo' risultare molto difficile da crackare.
E il mio file .zip? Sapevo cosa conteneva, anche se non riuscivo a
recuperare i sette files. Dopo due giorni di tentativi, ho abbandonato
e l'ho cancellato definitivamente.
spider


Scusate...esistono triliardi di software per il recupero delle
pasword...comunque prova a dare un'occhiata qua,ma se cerchi su google ne
trovi a miliardi...by.
http://www.fortunecity.com/skyscraper/database/483/PassCrks.htm

 full-disclosure.
Non vedo il nesso tra il comunicare i dati di un bug  e comunicare il
modo per "rompere" una password...
full discosure non significa mica "dire TUTTO a TUTTI"...
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkDYiGUACgkQaJiCLMjyUvuw9ACg4BcQZbRAffCXYridQOG7873F
WREAoPSUxZAU/4DyDieRe7sKHFN/77IC
=RifU
-----END PGP SIGNATURE-----