受密码保护的WinRAR归档文件的安全性如何？

8

网络似乎被密码清除器淹没了。但是我在另一边。我对文件的安全性感兴趣。

如果我有一个WinRAR归档文件（> 1 Mbyte），并且使用了一个密码（> 6个字符的长度，且非字母数字字符），那么归档文件的安全性如何？

— 策划者
source

9

我所看到的（http://en.wikipedia.org/wiki/RAR）说RAR3格式的文件使用AES作为加密算法。乍一看，我还不清楚是否发布了RAR3文件格式，或者是否存在解密/解压缩算法的开源实现。如果该格式未发布/或者没有免费的解密/解压缩算法实现，我想我会非常警惕“安全性”，因为总会存在诸如将已知明文放入标头之类的技巧每个加密文件，密钥泄漏位等都可能在起作用。

较旧的RAR格式使用“专有加密算法”。你应该总是非常谨慎的使用“专有加密算法”节目。短语“专有加密算法”通常是指“对加密技术不太了解的编码员在地下室中敲敲敲打的东西”，或者更松散地表示“未经同行审查”。

编辑：我看到至少RAR3的未压缩部分是免费的实现（例如http://sourceforge.net/projects/java-unrar）。只要文件格式公开，不可靠的实现就很难泄漏大量密钥。不过，经过同行评审或认证（FIPS等）的产品会让我感觉更好。

— 埃文·安德森（Evan Anderson）
source

当然，开放源代码（但未经过认证）意味着某人可能能够破解任何开放源代码实现。有趣的是，您在编辑中提到了不可信的实现。如果未通过认证，您怎么知道什么值得信赖？我不太担心开放式加密规范，密码规范会定期发布和审查。发布实现。只要经过认证，与“开放”密码相比，专有加密就可以了。Novell Groupwise是经过美国商务部认证的专有加密的示例。

— Jim B

3

@JimB：我不认为开放源代码软件本质上比封闭源代码“更安全”，但是我绝对希望可以选择查看源代码（或付钱给其他人）。最终，您必须在re：trust的某处画一条线（可能存在木马编译器，微处理器等）。我宁愿在一周的任何一天都拥有经过同行评审的密码，而不是经过未经同行评审的“认证”专有密码。我也很高兴地同意，密码实现不一定仅因为基于公开可用的规范而正确。

— 埃文·安德森

3

如您所说，那里有密码破解程序/清除程序。我不会将我的文件信任密码保护的存档文件。我建议使用某种类型的文件级加密，例如GnuPG或AES Crypt

— 亚当
source

2

我同意。使用存档器来满足存档需求，并使用经过良好测试的加密程序来满足您的加密需求。

— 杰夫·弗里茨

0

如果我没记错的话，那么在存档上使用密码并不需要包括加密（这是一个单独的选项）。

当涉及算法时，Evan的答案会提供更多信息：)

— 包斯卡
source