Contraseña ZIP larga: el diccionario correcto también puede fallar
El John PKZIP 1.9.0-jumbo-1 probado encontró 31 caracteres, pero no candidatos correctos de 32, 51, 52 y 127. Todos los archivos se descifraron independientemente: un fallo puede pertenecer a la herramienta.
Incluimos la respuesta en el diccionario
Creamos cinco ZIP tradicionales ZipCrypto con el mismo texto ficticio y contraseñas ASCII públicas de 31, 32, 51, 52 y 127 caracteres. No usamos archivos, contraseñas ni pistas privadas de clientes.
Cada lista contenía un valor incorrecto y la contraseña exacta, con sesión y potfile separados y vacíos. Probamos John 1.9.0-jumbo-1 cygwin 64-bit x86_64 AVX2 AC OMP. Python leyó cada original completo y verificó contenido y CRC para descartar archivos o contraseñas incorrectos.
Resultados y alcance
La información local del formato indicó un límite ASCII de 31 caracteres en esa compilación; Openwall describe esa clase de límite. No lo atribuimos a todos los John, a ZIP AES ni al formato ZIP en general.
El límite corresponde a la ruta de recuperación. La muestra de 127 caracteres es válida porque su contraseña conocida permite leer todo el contenido original. Un resultado negativo del módulo no demuestra lo contrario.
| Longitud de contraseña | Candidato correcto incluido | Encontrado por John PKZIP | Validación completa del original |
|---|---|---|---|
| 31 | Sí | Sí | Correcto |
| 32 | Sí | No | Correcto |
| 51 | Sí | No | Correcto |
| 52 | Sí | No | Correcto |
| 127 | Sí | No | Correcto |
Una cabecera coincidente no basta
El pequeño campo de comprobación de ZipCrypto ayuda a filtrar candidatos, pero puede producir coincidencias accidentales. Nuestro filtro largo encontró los cinco controles; aun así exigimos descifrar el miembro completo y comprobar contenido y CRC.
El filtro debe interpretar correctamente las banderas ZIP: la bandera de descriptor de datos cambia el origen del byte de comprobación. Un control con respuesta conocida vale más que suponer correcto un filtro propio.
Revisión antes de ampliar la búsqueda
Confirma formato y cifrado, longitud y codificación admitidas. Crea un control no privado de igual longitud, incluye su contraseña exacta y usa un almacén vacío. Valida leyendo el original; si el control falla, investiga la configuración antes de juzgar una lista mayor.
ASCII no certifica Unicode. No establecemos límites universales de WinRAR o 7-Zip, ni medimos ZIP AES, ni garantizamos recuperar toda contraseña larga. Demostramos que un límite puede invalidar una prueba negativa concreta.
Descarga los controles
El informe JSON contiene las contraseñas exactas y huellas SHA-256. No reutilices estos valores públicos para archivos reales. Descarga las cinco muestras y el código de filtrado para inspeccionarlos.
El código solo filtra candidatos: no sustituye la validación de descifrado completo. Publicamos un control positivo y fallos previstos del módulo antiguo identificado; no es una clasificación de productos.
Fuentes y comprobaciones
Alcance e independencia editorial
También ofrecemos recuperación. Solo usamos muestras ficticias propias, nunca archivos de clientes. Los resultados corresponden al entorno y fecha publicados; no implican una tasa general de éxito, posiciones en buscadores ni garantía de recuperación.