Je ZIP bezpečný? Zkontrolujte ho před rozbalením

Zkontrolujte ZIP, než ho rozbalíte. Jeho obsah vypisuje každý soubor s názvem, velikostí a tím, o kolik se zmenšil. Pět věcí se v něm ukáže, když se ZIP snaží způsobit potíže: velikost, která se po rozbalení nafoukne, názvy, které vylezou ze své složky, druhá přípona skrývající skutečný typ, šifrovaná položka a soubor, jehož skutečný typ neodpovídá jeho názvu. Nahlédněte do ZIPu jako prvního a rozbalte jen to, co jste čekali.

Prohlížeč ZIPCo je uvnitř tohoto ZIP souboru?Vyzkoušet zdarma

Co ukazuje obsah ZIPu

ZIP ukládá každý soubor jako položku. Na konci archivu drží seznam zvaný centrální adresář s jedním záznamem na položku. Každý záznam obsahuje název položky a cestu, velikost před a po kompresi, metodu komprese, kontrolní součet zvaný CRC-32 (krátké číslo spočítané z obsahu, které slouží k odhalení poškození) a to, zda je položka zašifrovaná.

Rozbalovací nástroje čtou nejdřív tento seznam. Prohlížeč ZIP čte pouze seznam, takže můžete vidět, co je uvnitř, aniž byste cokoli rozbalovali. Nic z archivu se nespouští.

Zip bomby: malé soubory, které se rozbalí do obří velikosti

Komprese funguje tak, že opakovaná data nahrazuje krátkými kódy, takže čím víc opakování, tím menší výsledek. Kompresní poměr je velikost nerozbaleného souboru dělená velikostí zabaleného. Dlouhé úseky opakovaných dat se komprimují extrémně dobře. Běžná metoda ZIPu dokáže zmenšit dlouhý úsek stejných bajtů asi tisíckrát.

Zip bomba toho využívá. Je to malý archiv, který se rozbalí na několik gigabajtů, někdy s archivy vnořenými do archivů, aby se velikost násobila. Rozbalení zaplní disk a může zamrznout počítač.

Běžné soubory vám dají představu o normálním poměru. Text a kód se zmenšují hodně. Fotky, videa a soubory, které už jsou komprimované, jako .docx, .xlsx a .jpg, se téměř nezmenší. Poměr v řádu stovek u něčeho, co má být obyčejný dokument, je varovný signál.

Názvy, které vylezou ze složky

Každý název položky může obsahovat složky. Název jako ../../Startup/update.bat říká rozbalovači, aby šel o dvě úrovně nahoru a zapsal soubor do složky Startup, kde by se program spouštěl při každém přihlášení. Tomu se říká path traversal, neboli „zip slip“. Pečlivé rozbalovače části ../ odstraní. Starší nástroje a domácí skripty to nemusí dělat.

Název začínající lomítkem, například /etc/... nebo C:\..., je stejný problém: pokouší se zapsat na pevné místo na disku. Prohlížeč zobrazuje názvy přesně tak, jak jsou uložené, takže si je můžete přečíst dřív, než se cokoli zapíše.

Dvojité přípony a skryté typy

Poslední přípona názvu souboru říká systému, o jaký typ souboru jde. invoice.pdf.exe končí na .exe, takže je to program, i když název začíná jako PDF. Windows ve výchozím nastavení skrývá přípony známých typů souborů, takže se název může zobrazit jen jako „invoice.pdf“.

Kontrola skutečného typu podle prvních bajtů

Každý typ souboru začíná několika podpisovými bajty. Přípona je jen označení a může ji změnit kdokoli. Zkontrolujte skutečný typ souboru přečte tyto první bajty a porovná je s názvem.

Typ	První bajty (hexadecimálně)
Dokument PDF	25 50 44 46 (text %PDF)
Obrázek PNG	89 50 4E 47
Obrázek JPEG	FF D8 FF
ZIP a soubory Word nebo Excel (jsou to ZIPy uvnitř)	50 4B 03 04 (text PK)
Program pro Windows	4D 5A (text MZ)

Nesoulad sám o sobě neprokazuje, že je soubor škodlivý. Znamená ale, že soubor není tím, za co se vydává, a to je dostatečný důvod zastavit se a zjistit, odkud pochází.

Šifrované položky

Položka chráněná heslem skrývá svůj obsah. Prohlížeč sice ukáže názvy a velikosti, ale nic uvnitř se tu nedá prohlédnout a ani skenery do ní nevidí. Proto útočníci používají šifrované archivy k tomu, aby dostali soubory přes filtry. Bankovní výpisy a daňová přiznání bývají záměrně šifrované také. Pokud odesílatel je někdo, koho znáte, vyžádejte si heslo jiným kanálem a archiv otevřete, až budete vědět, kdo ho poslal.

Nepořádek z Macu a Windows

Dva systémy přidávají soubory, které jste nevytvořili:

macOS ukládá další data ke každému souboru do skryté složky __MACOSX s názvy ._ vedle souborů a zapisuje soubory .DS_Store, které uchovávají nastavení zobrazení Finderu.
Windows přidává Thumbs.db, mezipaměť náhledů, a desktop.ini, který obsahuje nastavení zobrazení složky.

Jsou neškodné, ale zahlcují archiv a matou toho, kdo ho dostane.

Před odesláním vyčistěte archiv

Vyčistěte ZIP vám vytvoří nový archiv bez souborů z Macu a Windows. Původní archiv zůstane beze změny. Bezpečný postup:

Otevřete archiv v Prohlížeči ZIP a přečtěte si každý název.
Zkontrolujte každý soubor, jehož název nebo typ vypadá špatně, pomocí kontroly typu souboru.
Vyčistěte archiv, pak otevřete vyčištěnou kopii a ověřte, že obsahuje to, co jste chtěli odeslat.
Odešlete vyčištěnou kopii.

Okrajové případy

Archivy v archivech. Prohlížeč ukáže vnější seznam. Vnitřní archiv otevřete zvlášť a zkontrolujte ho stejným způsobem.
Poškozené archivy. Centrální adresář je na konci, takže rozbitý konec může zabránit tomu, aby se ZIP vůbec otevřel. To je problém poškození, ne důkaz, že je archiv bezpečný. Zkontrolujte, zda není poškozený.
Soubory, které se rozbalí samy. Archiv s připojeným programem, často pojmenovaným .exe, je program. Nespouštějte ho, pokud nedůvěřujete zdroji.
Čistý seznam není záruka. Uklizený seznam ukazuje, že názvy a velikosti vypadají normálně. Neprokazuje, že je každý soubor neškodný. Nespouštějte program z archivu, kterému nedůvěřujete, ani poté, co jste ho zkontrolovali.