Récupération de mots de passe d'archives ZIP

Casser le chiffrement de compression dans les archives de fichiers

Ce que vous allez découvrir

🎯 Pourquoi c'est important

Le craquage de mots de passe ZIP représente l'un des défis les plus courants en forensique numérique et tests d'intrusion. Les organisations utilisent régulièrement des fichiers ZIP protégés par mot de passe pour distribuer des données sensibles, croyant que le chiffrement de compression fournit une sécurité adéquate. Cependant, les attaquants rencontrent fréquemment des archives chiffrées lors d'exfiltration de données, et savoir comment craquer les mots de passe zip devient essentiel tant pour les évaluations de sécurité offensives que pour la réponse défensive aux incidents. Comprendre comment craquer un mot de passe sur un fichier zip permet aux professionnels de la sécurité d'évaluer la véritable force de la protection des archives et de démontrer la faisabilité d'attaques réelles.

🔍 Ce que vous allez apprendre

Vous maîtriserez les outils professionnels de craquage de mots de passe zip incluant zip2john, fcrackzip et hashcat, comprendrez les différentes méthodes de chiffrement ZIP et leurs vulnérabilités, et apprendrez à craquer les mots de passe de fichiers .zip en utilisant des attaques par dictionnaire, force brute et hybrides. Ces techniques sont essentielles pour les scénarios de test d'intrusion où les archives chiffrées contiennent des renseignements critiques, les investigations forensiques nécessitant l'accès à des preuves protégées, et les évaluations de sécurité des pratiques de protection de fichiers organisationnelles.

🚀 Votre première réussite

Dans les 15 prochaines minutes, vous apprendrez comment craquer la protection par mot de passe zip sans le mot de passe original, extraire les hash cryptographiques des archives chiffrées, et récupérer les mots de passe en utilisant des outils de sécurité professionnels.

🔧 Essayez ceci maintenant

Créons un fichier ZIP protégé par mot de passe puis craquons-le pour comprendre le workflow complet :

# Installer John the Ripper (inclut zip2john)
# Ubuntu/Debian
sudo apt update && sudo apt install john

# macOS - Installer depuis les sources ou utiliser la version jumbo
# Option 1 : Télécharger le binaire pré-compilé depuis https://www.openwall.com/john/
# Option 2 : Installer la version jumbo avec Homebrew
brew install john-jumbo

# Vérifier que zip2john est disponible
which zip2john  # Devrait afficher le chemin

# Créer un fichier de test et une archive ZIP protégée par mot de passe
echo "HackerDNA Secret Data" > secret.txt

# Créer un ZIP protégé par mot de passe en utilisant un mot de passe de rockyou.txt
# Nous utiliserons "password" qui est dans la wordlist rockyou
zip -e protected.zip secret.txt
# Quand demandé, entrez le mot de passe : password

# Extraire le hash du ZIP protégé par mot de passe
zip2john protected.zip > zip_hash.txt

# Voir le format du hash extrait
cat zip_hash.txt

# Craquer le mot de passe ZIP en utilisant John the Ripper
john --wordlist=/usr/share/wordlists/rockyou.txt zip_hash.txt

# Afficher le mot de passe craqué
john --show zip_hash.txt

Vous verrez : Comment les hash de mots de passe ZIP sont extraits et craqués, démontrant le processus complet pour craquer les mots de passe zip sans avoir besoin du mot de passe original. Le mot de passe "password" sera craqué presque instantanément à partir de la wordlist rockyou.

Compétences que vous maîtriserez

Comprendre le chiffrement ZIP

Le chiffrement des archives ZIP a évolué à travers plusieurs générations, chacune avec des caractéristiques de sécurité distinctes. Le chiffrement PKZIP original (ZipCrypto) utilise un chiffrement de flux propriétaire qui a des faiblesses cryptographiques connues, le rendant vulnérable aux attaques par force brute et aux attaques par texte clair connu. Les implémentations ZIP modernes supportent le chiffrement AES (AES-128, AES-192, AES-256), qui fournit une protection significativement plus forte lorsque combiné avec des mots de passe robustes. Comprendre ces méthodes de chiffrement est essentiel pour choisir la bonne approche pour craquer la protection par mot de passe zip.

Les évaluateurs de sécurité professionnels comprennent que la protection par mot de passe ZIP crée un faux sentiment de sécurité pour de nombreuses organisations. La spécification du format de fichier ZIP détaille les méthodes de chiffrement disponibles, mais la plupart des utilisateurs restent inconscients des différences de sécurité significatives entre le chiffrement ZipCrypto et AES. La recherche a démontré que ZipCrypto peut être cassé en utilisant des attaques par texte clair connu quand les attaquants possèdent même une petite portion du contenu de fichier non chiffré, le rendant inadapté pour protéger des données sensibles.

Les détails techniques sur comment craquer la protection par mot de passe zip varient selon la méthode de chiffrement employée. ZipCrypto utilise un état interne de 96-bit avec trois clés de 32-bit, mises à jour via un polynôme de contrôle de redondance cyclique (CRC-32). Cette conception permet une implémentation efficace mais crée des faiblesses mathématiques qui permettent l'optimisation des attaques. Les fichiers ZIP chiffrés AES utilisent PBKDF2 avec HMAC-SHA1 pour la dérivation de clé, appliquant 1 000 itérations par défaut—un nombre relativement bas selon les standards modernes, rendant les attaques basées sur les mots de passe faisables contre les mots de passe faibles.

Outils et techniques

🔨 zip2john : extraction de hash professionnelle

L'outil zip2john, partie de la suite John the Ripper, extrait les hash de mots de passe des archives ZIP chiffrées dans un format optimisé pour le craquage de mots de passe. Cet utilitaire gère à la fois les archives chiffrées ZipCrypto et AES, détectant automatiquement la méthode de chiffrement et extrayant les données cryptographiques appropriées nécessaires pour craquer les mots de passe zip sans le mot de passe original.

# Installer John the Ripper (inclut zip2john)
# Ubuntu/Debian
sudo apt update && sudo apt install john

# macOS (avec Homebrew)
brew install john

# Arch Linux
sudo pacman -S john

# Extraire le hash d'un seul fichier ZIP
zip2john protected.zip > zip_hash.txt

# Extraction par lots de plusieurs fichiers ZIP
for archive in *.zip; do
    zip2john "$archive" >> all_zip_hashes.txt
done

# Examiner le format du hash extrait
cat zip_hash.txt
# Le format montre le type de chiffrement : PKZIP ou AES
# Exemple : filename.zip:$pkzip$1*1*2*0*encrypted_data...
#      ou : filename.zip:$zip2$*0*3*0*AES_encrypted_data...

Le format de hash extrait révèle des informations critiques sur la méthode de chiffrement ZIP. Le préfixe $pkzip$ indique le chiffrement ZipCrypto legacy, tandis que $zip2$ désigne le chiffrement AES. Comprendre ces formats permet la sélection de stratégies d'attaque appropriées et l'optimisation des performances.

⚡ Attaques ZIP avec John the Ripper

John the Ripper fournit des capacités complètes de craquage de mots de passe ZIP avec détection automatique du format et stratégies d'attaque intelligentes. Il excelle dans les attaques par dictionnaire avec règles, le rendant très efficace pour craquer les archives ZIP d'entreprise qui utilisent typiquement des patterns de mots de passe prévisibles.

# Attaque par dictionnaire pour craquer le mot de passe zip
john --wordlist=/usr/share/wordlists/rockyou.txt zip_hash.txt

# Attaque basée sur des règles avec mutations de mots de passe
john --rules --wordlist=/usr/share/wordlists/rockyou.txt zip_hash.txt

# Afficher les mots de passe craqués
john --show zip_hash.txt

# Mode incrémental (force brute)
john --incremental zip_hash.txt

# Règles personnalisées pour les patterns ZIP d'entreprise
echo '[List.Rules:ZIPRules]' > zip.conf
echo 'c $2 $0 $2 $3' >> zip.conf  # Capitaliser + année
echo 'c $! $@ $#' >> zip.conf      # Capitaliser + symboles
john --rules=ZIPRules --wordlist=corporate.txt zip_hash.txt

# Gestion de session pour les attaques longues
john --session=hdna_zip zip_hash.txt
john --restore=hdna_zip  # Reprendre une session interrompue

🚀 Hashcat : craqueur de mots de passe ZIP

Hashcat fournit le craquage de mots de passe ZIP accéléré par GPU avec des modes spécialisés pour différentes méthodes de chiffrement. Cela en fait l'option la plus rapide pour craquer les mots de passe de fichiers .zip, surtout lors de l'attaque de plusieurs archives ou en utilisant des stratégies d'attaque complexes.

# Modes Hashcat pour le chiffrement ZIP
# Mode 17200 : PKZIP (Compressé)
# Mode 17210 : PKZIP (Non compressé)
# Mode 17220 : PKZIP (Multi-fichiers compressé)
# Mode 17230 : PKZIP (Multi-fichiers non compressé)
# Mode 13600 : WinZip AES

# Note : hashcat nécessite une conversion de format de hash spéciale
# Utilisez la sortie de zip2john, puis formatez pour hashcat

# Attaque par dictionnaire contre PKZIP
hashcat -m 17200 -a 0 zip_hash.txt rockyou.txt

# Attaque par masque pour des patterns de mots de passe connus
hashcat -m 17200 -a 3 zip_hash.txt '?u?l?l?l?l?l?l?d?d?d?d'

# Attaque hybride : wordlist + chiffres
hashcat -m 17200 -a 6 zip_hash.txt corporate.txt '?d?d?d?d'

# Attaque WinZip AES (plus lente à cause de PBKDF2)
hashcat -m 13600 -a 0 zip_hash.txt rockyou.txt -w 3

L'accélération GPU améliore dramatiquement les performances pour le chiffrement PKZIP, qui peut être craqué à des milliards de tentatives par seconde. Les ZIP chiffrés AES sont plus lents à cause de la dérivation de clé PBKDF2, mais les GPU modernes fournissent encore des avantages significatifs par rapport au craquage basé sur CPU.

🎯 fcrackzip : craqueur de mots de passe ZIP spécialisé

fcrackzip est un outil dédié de craquage de mots de passe zip conçu spécifiquement pour les archives ZIP. Bien qu'il ne supporte que le chiffrement PKZIP legacy, il fournit une interface simple pour les tentatives rapides de récupération de mot de passe et les attaques par force brute contre les fichiers ZIP plus anciens.

# Installer fcrackzip
sudo apt install fcrackzip     # Ubuntu/Debian
brew install fcrackzip         # macOS
sudo pacman -S fcrackzip       # Arch Linux

# Attaque par dictionnaire avec fcrackzip
fcrackzip -D -p /usr/share/wordlists/rockyou.txt -u protected.zip

# Attaque par force brute (minuscules + chiffres, longueur 1-8)
fcrackzip -b -c 'aA1' -l 1-8 -u protected.zip

# Sortie verbeuse montrant les tentatives
fcrackzip -v -D -p wordlist.txt -u protected.zip

# Options de jeu de caractères :
# -c 'a'   : lettres minuscules
# -c 'A'   : lettres majuscules
# -c '1'   : chiffres
# -c '!'   : caractères spéciaux
# -c 'aA1' : minuscules, majuscules, chiffres combinés

Bien que fcrackzip soit pratique pour les attaques rapides, il ne fonctionne qu'avec le chiffrement PKZIP et manque d'accélération GPU. Pour les évaluations professionnelles, zip2john combiné avec John the Ripper ou hashcat fournit de meilleures performances et un support de format plus large.

🔍 Attaques par texte clair connu

Les attaques par texte clair connu exploitent les faiblesses du chiffrement ZipCrypto en utilisant des copies non chiffrées de fichiers contenus dans l'archive. Des outils comme bkcrack peuvent récupérer les clés de chiffrement sans avoir besoin de craquer le mot de passe, fournissant un accès instantané au contenu de l'archive.

# Installer bkcrack (outil d'attaque par texte clair connu)
git clone https://github.com/kimci86/bkcrack.git
cd bkcrack
cmake -S . -B build -DCMAKE_INSTALL_PREFIX=install
cmake --build build --config Release
cmake --build build --config Release --target install

# Scénario d'attaque par texte clair connu :
# Vous avez : encrypted.zip contenant report.pdf
# Vous avez trouvé : copie non chiffrée de report.pdf

# Créer un ZIP en texte clair (sans compression)
zip -0 plaintext.zip report.pdf

# Récupérer les clés internes en utilisant le texte clair connu
./bkcrack -C encrypted.zip -c report.pdf -P plaintext.zip -p report.pdf

# Une fois les clés récupérées, déchiffrer l'archive entière sans mot de passe
./bkcrack -C encrypted.zip -k 12345678 87654321 abcdef01 -D decrypted.zip

# Cette attaque fonctionne contre tous les fichiers chiffrés PKZIP
# Ne nécessite pas de craquage de mot de passe - casse le chiffrement directement

Les attaques par texte clair connu représentent la vulnérabilité la plus sévère du chiffrement ZipCrypto. Les chercheurs en sécurité ont documenté cette faiblesse de manière extensive, démontrant que même les mots de passe forts ne fournissent aucune protection quand les attaquants peuvent obtenir des versions non chiffrées des fichiers archivés. Cette technique est particulièrement efficace dans les environnements d'entreprise où les fichiers sont fréquemment partagés à la fois chiffrés et non chiffrés.

Contre-mesures défensives

🛡️ Standards de chiffrement d'archives forts

Les organisations devraient interdire le chiffrement ZipCrypto legacy et imposer le chiffrement AES-256 pour toutes les archives protégées par mot de passe. La spécification de chiffrement WinZip AES fournit une protection standard industrielle lorsque combinée avec des mots de passe forts et une dérivation de clé appropriée.

• Application de la méthode de chiffrement : Exiger AES-256 pour toutes les archives protégées
• Interdiction des formats legacy : Bloquer la création de fichiers chiffrés ZipCrypto
• Standardisation des outils : Déployer des logiciels d'archive avec des paramètres de chiffrement forts par défaut
• Vérification du chiffrement : Analyse automatisée pour détecter les méthodes de chiffrement faibles

🔐 Politiques de mots de passe d'archives

Une protection efficace des archives nécessite des politiques de mots de passe spécifiquement conçues pour le chiffrement au niveau fichier. Contrairement aux mots de passe d'authentification, les mots de passe d'archive devraient supposer que le fichier chiffré peut être obtenu par des attaquants et soumis à des tentatives de craquage hors ligne.

• Exigences de haute complexité : Minimum 16 caractères avec types de caractères mixtes
• Restrictions des termes organisationnels : Interdire noms d'entreprise, codes de projet, noms de département
• Mots de passe uniques par archive : Ne jamais réutiliser les mots de passe entre plusieurs archives
• Partage de mot de passe hors bande : Transmettre les mots de passe par des canaux séparés des archives

⚡ Alternatives modernes de partage de fichiers

Les fichiers ZIP protégés par mot de passe représentent des pratiques de sécurité obsolètes pour la plupart des scénarios. Les organisations devraient implémenter des plateformes modernes de partage de fichiers sécurisé qui fournissent une sécurité supérieure, de l'audit et du contrôle d'accès comparés aux archives chiffrées.

• Plateformes de partage de fichiers d'entreprise : SharePoint, Google Drive, Dropbox Business avec sécurité intégrée
• Solutions de transfert de fichiers sécurisé : Systèmes de transfert de fichiers gérés (MFT) avec chiffrement en transit et au repos
• Systèmes de gestion des droits : Gestion des droits numériques (DRM) pour la protection au niveau document
• Architectures zero-trust : Contrôle d'accès basé sur l'identité remplaçant le chiffrement basé sur mot de passe

🔍 Surveillance et détection de sécurité

Les organisations devraient implémenter des systèmes de surveillance pour détecter les tentatives suspectes de création et d'exfiltration d'archives. Les systèmes de prévention des pertes de données (DLP) peuvent identifier les archives chiffrées dans le trafic réseau et empêcher les transferts de données non autorisés.

• Intégration DLP : Détecter et bloquer la transmission d'archives chiffrées non autorisées
• Analyse de sécurité email : Analyser les pièces jointes protégées par mot de passe pour les menaces
• Surveillance des endpoints : Suivre l'activité de création d'archives et signaler les anomalies
• Préparation forensique : Maintenir les capacités de craquage de mots de passe ZIP pour la réponse aux incidents

FAQ

Bases du craquage de mots de passe ZIP

Implémentation technique

Applications pratiques

🎯 Vous maîtrisez le craquage de mots de passe ZIP !

Vous comprenez maintenant comment craquer les mots de passe zip en utilisant des outils professionnels de craquage de mots de passe zip, pouvez extraire des hash et craquer les mots de passe de fichiers .zip avec des attaques par dictionnaire et force brute, et savez comment craquer un mot de passe sur un fichier zip quelle que soit la méthode de chiffrement. Ces compétences sont essentielles pour les tests d'intrusion, la forensique numérique, la réponse aux incidents et les évaluations de sécurité impliquant des archives chiffrées.

Prêt à explorer les techniques de récupération de mots de passe d'archives RAR et 7-Zip