跨归档文件格式密码重用带来的安全隐患分析

本文深入探讨在不同归档文件格式间重复使用相同密码的安全风险,分析7z与GPG加密机制的技术差异,以及攻击者如何利用相同内容的不同加密版本来破解密码。

考虑以下场景: 您将文件上传到在线服务进行备份,但您不信任他们不会数据挖掘您的文件来训练AI。同时您知道存在一定风险,服务可能被入侵,所有文件落入攻击者手中,而攻击者恰好有足够的时间、技能和耐心尝试破解遇到的任何加密,希望能在海量文件中找到有价值的秘密。

但您有一定保护措施,因为每次上传文件到在线服务前,您都会先加密文件并打包成归档文件。 而且您对所有备份文件使用了相同的密码(长度超过9个字符,不是牛津词典中的单词)。

但您并非总是使用相同的加密方式。有时您在装有Engrampa(Linux的GUI 7z压缩器)的PC上操作,因此创建了带有密码保护的7z文件,并勾选了隐藏文件名列表的选项。其他时候您在不同的PC上操作,将文件收集到未加密的zip文件中,然后使用gpg执行gpg -c file_name.zip命令,生成file_name.zip.gpg文件后再上传。

现在考虑攻击者能够访问以下部分文件: backups_volume_1.7z backups_volume_2.zip.gpg 等等…

由于两个归档文件使用了相同的密码,是否会引入任何漏洞? 如果完全相同的文件以两种格式存在,比如您意外地通过每种方法备份了同一文件夹两次: backups_folder_old.7z 和backups_folder_old.zip.gpg

据我理解,engrampa的7z加密和gpg的对称加密默认使用相同的算法,或者至少非常相似,都是某种aes-256变体。 这是否意味着拥有访问相同文件夹文件的不同加密版本(使用相同密码但不同加密方式),能为攻击者提供足够信息来破解密码,或者以其他方式侵入其中一个归档文件并解密密码,即使他从未获得明文密码暴露(因此他无法在其他使用相同密码但内容完全不同的加密文件中重用该密码)?

这是一个假设性情境,但我特别想了解:存储使用相同密码但不同加密程序加密的文件是否会危及加密本应提供的安全性。

comments powered by Disqus
使用 Hugo 构建
主题 StackJimmy 设计