macOSの暗号化zipファイルはパスワード無しで解凍できる - NFLabs. エンジニアブログ

はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本

[khtokage]

「～するのが常識」ってコメントがあるし気持ちは分かるけど、セキュリティに関わる事が「自力で避けるのが常識」なOSはどうかなーと思う。まーMacに限った話ではないけどね。

[poco_tin]

7-Zipがzipに代わる各OSの標準にならないかな、という願望がある

[muchonov]

あ、そ〜ゆ〜ことか！＞「zipファイル内の.DS_Storeを既知平文として利用する既知平文攻撃」 ／瞬時に解凍とはいかないが、パスワード長に依存しないのはまじいな

[ifttt]

Mac使ってるクライアントから送られてくるzipにはだいたい.DS_Storeが混入しているので、ブコメを見る限り、弊社は常識のないクライアントとばかり仕事をしている

[kns_1234]

他人に渡すZIPを作るときはCleanArchiverなど .DS_Store 抜きでZIP圧縮するアプリを使うのが常識と思ってましたが…

[sirius_taka]

じゃあ他のOSで作った暗号化zipなら安全かっていうとブルートフォースで割と現実的な時間内に解けるみたいだからzipcrypto自体を使うなって感じか

[gfx]

"「zipファイル内の.DS_Storeを既知平文として利用する既知平文攻撃」 / 既知平文攻撃とは「暗号化される前の平文の一部をあらかじめ知っている場合、その平文を利用して暗号化を解除することができる攻撃手法」"

[ys0000]

1ファイルだけ圧縮してメールで送るってやらないこともないだろうから気をつけたほうが良さそう（Macユーザーじゃないので高みの見物）。攻撃手法は参考になった。世の中のすごい人達、よく思いつくよな、そんな事。

[ya--mada]

macでパス付きzip作るときは、ファイルパスのユニコード扱いがWindowsとの不整合も有るので、ツール（winarchiveとか）を挟むので .DS_store も消されてしまう。コマンド使いが陥る脆弱性ということかな？

[TakamoriTarou]

相手にファイルを渡してしまう系のやり方ではファイルを守るのが厳しいと言う事で。zip暗号化でファイルを送るのは、平文で送るのとほとんど変わらんと言う認識が常識になってほしい。

[side_tana]

へー

[tmatsuu]

既知平文攻撃でパスワード長に関係なく解読可能。macOSだと知らないうちに.DS_Storeが紛れ込んでる上にmacOSユーザはそのことに気づきにくいのが厄介だな。

[matsubobo]

このオプションでzipを作れば.DS_Storeは入らないです。https://matsu.teraren.com/blog/2021/06/30/zip-macos-dsstore-icon/

[cruller]

勝手に作られるせいでフォルダの更新日時意味をなさなくなるし廃止してくれないかな.DS_Store。Orルートにまとめて置くとか

[a185723]

• MacのGUIにはパスワード付きzipを作る機能がそもそも存在しない。 • GUIでパスなしzipをつくると__MACOSXフォルダも作っちゃうので.DS_Store以外にファイル１つだけという条件を満たした作り方ができない。

[sonekipya]

Macは不審な通信を裏でたくさんしている。通信を監視するソフト入れてやばさがやっとわかる。　https://qiita.com/ishigaki_hige/items/41ab31b002c8649be2c2

[u4k]

PPAPがダメな理由でもあるけど、暗号化ZIPはセキュリティ的に脅威なのでもう使わない方がいいよ

[hayashin10]

今時パスワードzipなんか使わない

[kirarichang]

知らんかった！気をつけよ。というか、windows 互換が原因か

[kamm]

『解凍条件を満たさないようにするためには、以下のいずれかの方法が考えられます』どれも厳しい。.DS_Storeを含まずにもう一度暗号化したら多少のマシか／CleanArchiverってツールがあるのね

[exsoul]

映画「イミテーション・ゲーム」で見たやつだ

[myrmecoleon]

可能なかたちの少ないファイルが必ず含まれたら確かにそこは穴になるか。なるほどなあ。

[o108minmin]

最近macでzipファイル作ってないな…

[kyopeco]

“.DS_Storeファイルがzip内に含まれないように気をつける ファイルが1つだけのフォルダを含めないように気をつける .DS_Storeファイルが生成されないように設定する (副作用あり) 暗号化方式でzipcryptoではなくAESを使用する ”

[KAN3]

まぁパスワード付きzipなんて社内のプロジェクト外の人間が軽い気分で開かないようにちょっと開きにくくしてる程度のものとして使うものだし気にしなくていいんじゃない？

[tettekete37564]

わーお。まあ Finder コンテキストメニューからの圧縮機能は昔からイマイチだよね。アーカイブするファイル名をベースネームに使ってくれないし。

[yooks]

初めて知った

[ardarim]

なるほど

[kitano__ow]

id:kns_1234 みたいに、"CleanArchiverなどを使うのが常識" って、言っちゃうのが一番無責任だと思うわ

[Wafer]

zipでくれってそういう意味...

[koreyonda]

PPAPを無効にするスタイルだ。

[a2de]

客から送られてくる資料にDS_Store入ってたらﾏｶｰかとか思いながら解凍してる

[ooblog]

#Mac #MacOS #Zip #pkcrack #bkcrack 「desktop.iniに相当~隠しファイル~.DS_Store~気づかないうちに自動的に同梱~zipcrypto~既知平文攻撃に脆弱~パスワードの長さに解凍時間が依存しない~座標の値~特定条件~1バイトの範囲に収まる」

[hatomugicha]

後で読むかもしれないけど共通鍵って事なのかな

[ruicc]

そんなんあるの

[kz78]

全然関係ない話するけど、ZIPファイルのファイル名の文字コードにShftJIS使うのがデファクトスタンダードになってるの、ホントクソ。

[taguch1]

個人的にzipにパスワードはつけない。そこでセキュリティを担保するような運用は個人でも仕事でもしない。

[eru01]

拾った書庫にごく稀に混じってるDS_StoreとかいうMacのゴミってそういう役目やったんかｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗゴミやなｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

[dorje2009]

zipcryptoを使わないと相手がwindowsならエクスプローラで開けない。パスワードが弱いほど短時間で解読可は想像つくけど、これは知ってないとダメなので利用者のリテラシーに依存するのは良くない

[shodai]

なるほど