Ce fichier ZIP est-il sûr ? Vérifiez-le avant de l'extraire

Vérifiez un ZIP avant de l'extraire. Sa table des matières liste chaque fichier avec son nom, sa taille et le gain de compression. Cinq signes indiquent qu'une archive ZIP cherche à causer des ennuis : une taille qui explose une fois décompressée, des noms qui sortent de leur dossier, une seconde extension qui masque le vrai type, une entrée chiffrée, et un fichier dont le type réel ne correspond pas au nom. Commencez par regarder à l'intérieur du ZIP, et ne décompressez que ce que vous attendiez.

Visionneuse ZIPQue contient ce ZIP ?Essayer gratuitement

Ce que montre la table des matières d'un ZIP

Un ZIP enregistre chaque fichier sous forme d'entrée. À la fin de l'archive, il conserve une liste, appelée répertoire central, avec un enregistrement par entrée. Chaque enregistrement contient le nom et le chemin de l'entrée, sa taille avant et après compression, la méthode de compression, une somme de contrôle appelée CRC-32 (un court nombre calculé à partir du contenu, utilisé pour détecter une altération), et indique si l'entrée est chiffrée.

Les outils d'extraction lisent d'abord cette liste. La visionneuse ZIP ne lit que la liste : vous voyez ce qu'il y a dedans sans rien décompresser. Rien dans l'archive ne s'exécute.

Zip bombs : de petits fichiers qui se décompressent énormément

La compression fonctionne en remplaçant les données répétées par des codes courts : plus il y a de répétitions, plus le résultat est petit. Le taux de compression est la taille non compressée divisée par la taille compressée. Les longues suites de données répétées se compressent extrêmement bien. La méthode habituelle de ZIP peut réduire une longue suite d'octets identiques environ mille fois.

Une zip bomb en profite. C'est une petite archive qui se décompresse en plusieurs gigaoctets, parfois avec des archives imbriquées dans d'autres pour multiplier la taille. L'extraire remplit le disque et peut figer l'ordinateur.

Les fichiers ordinaires donnent une idée du taux normal. Le texte et le code se compressent beaucoup. Les photos, les vidéos et les fichiers déjà compressés, comme .docx, .xlsx et .jpg, se compressent à peine. Un taux de plusieurs centaines pour un simple document est un signal d'alerte.

Des noms qui sortent du dossier

Chaque nom d'entrée peut contenir des dossiers. Un nom comme ../../Startup/update.bat indique à l'extracteur de remonter de deux niveaux et d'écrire dans un dossier de démarrage, où le programme s'exécuterait à chaque ouverture de session. C'est ce qu'on appelle la traversée de chemin, ou « zip slip ». Les extracteurs soignés suppriment les ../. Les anciens outils et les scripts maison, eux, ne le font pas forcément.

Un nom qui commence par une barre oblique, comme /etc/... ou C:\..., pose le même problème : il tente d'écrire à un emplacement fixe de votre disque. La visionneuse affiche les noms exactement tels qu'ils sont stockés, ce qui permet de les lire avant que quoi que ce soit ne soit écrit.

Doubles extensions et types masqués

La dernière extension d'un nom de fichier indique au système quel type de fichier il est. invoice.pdf.exe se termine par .exe : c'est donc un programme, même si le nom commence comme celui d'un PDF. Par défaut, Windows masque l'extension des types de fichiers connus, si bien que le nom peut apparaître comme « invoice.pdf ».

Vérifier le vrai type à partir des premiers octets

Chaque type de fichier commence par quelques octets de signature. L'extension n'est qu'une étiquette, que n'importe qui peut modifier. Vérifiez le type réel d'un fichier : l'outil lit ces premiers octets et les compare au nom.

Type	Premiers octets (hexadécimal)
Document PDF	25 50 44 46 (le texte %PDF)
Image PNG	89 50 4E 47
Image JPEG	FF D8 FF
ZIP, ainsi que les fichiers Word ou Excel (ce sont des ZIP à l'intérieur)	50 4B 03 04 (le texte PK)
Programme Windows	4D 5A (le texte MZ)

Une incohérence ne prouve pas qu'un fichier est dangereux. Elle signifie en revanche que le fichier n'est pas ce que son nom annonce, et c'est une raison suffisante pour s'arrêter et vérifier d'où il vient.

Entrées chiffrées

Une entrée protégée par mot de passe cache son contenu. La visionneuse peut tout de même afficher les noms et les tailles, mais rien à l'intérieur ne peut être examiné ici, et les antivirus ne peuvent pas non plus le lire. C'est pour cette raison que des attaquants utilisent des archives chiffrées pour faire passer des fichiers à travers les filtres. Les relevés bancaires et les avis d'impôt sont aussi souvent chiffrés volontairement. Si l'expéditeur est quelqu'un que vous connaissez, demandez le mot de passe par un autre canal, et n'ouvrez l'archive que si vous savez qui l'a envoyée.

Fichiers parasites macOS et Windows

Deux systèmes ajoutent des fichiers que vous n'avez pas créés :

macOS stocke des données supplémentaires pour chaque fichier dans un dossier caché __MACOSX, avec des noms ._ à côté des fichiers, et crée des fichiers .DS_Store qui conservent les réglages d'affichage du Finder.
Windows ajoute Thumbs.db, un cache de miniatures, et desktop.ini, qui contient les réglages d'affichage du dossier.

Ces fichiers sont inoffensifs, mais ils encombrent l'archive et déroutent la personne qui la reçoit.

Nettoyer une archive avant de l'envoyer

Nettoyer le ZIP crée une nouvelle archive sans les fichiers de macOS et Windows. Votre original reste intact. Une démarche sûre :

Ouvrez l'archive dans la visionneuse ZIP et lisez chaque nom.
Vérifiez tout fichier dont le nom ou le type vous paraît incohérent avec le vérificateur de type de fichier.
Nettoyez l'archive, puis ouvrez la copie nettoyée pour confirmer qu'elle contient bien ce que vous vouliez envoyer.
Envoyez la copie nettoyée.

Cas particuliers

Archives dans des archives. La visionneuse affiche la liste de l'archive externe. Ouvrez l'archive interne séparément et vérifiez-la de la même manière.
Archives endommagées. Le répertoire central se trouve à la fin, donc une fin abîmée peut empêcher l'ouverture du ZIP. C'est un problème d'altération, pas une preuve que l'archive est sûre. Vérifiez-la pour détecter une altération.
Fichiers auto-extractibles. Une archive à laquelle est attaché un programme, souvent nommée .exe, est un programme. Ne l'exécutez pas sauf si vous faites confiance à sa source.
Une liste propre ne garantit rien. Une liste nette montre que les noms et les tailles semblent normaux. Elle ne prouve pas que chaque fichier est inoffensif. N'exécutez jamais un programme issu d'une archive dont vous ne vous fiez pas, même après vérification.