ZipCrypto vs AES pour les ZIP : Ce qui Peut Vraiment Être Récupéré

Tous les fichiers ZIP protégés par mot de passe ne sont pas également protégés. Le mot "ZIP" cache deux schémas de chiffrement complètement différents : l'ancien ZipCrypto, qui est faible, et le WinZip AES moderne, qui est fort. La possibilité de récupérer un mot de passe ZIP perdu dépend presque entièrement duquel de ces deux schémas a été utilisé. Ce guide explique les deux en langage simple, donne les chiffres réels, et vous aide à déterminer lequel protège votre archive, afin que vous ayez des attentes honnêtes avant de dépenser le moindre effort.

ZipCrypto ancien : rapide, vieux, et faible

ZipCrypto, aussi appelé chiffrement ZIP traditionnel ou ancien, est le schéma original intégré au format ZIP au début des années 1990. Il est partout car presque tous les outils peuvent le créer et le lire, et pendant longtemps il était le choix par défaut. Mais il a été conçu à une autre époque, et selon les normes modernes il est faible de deux façons distinctes.

Premièrement, il est extrêmement rapide à tester. Sur une carte graphique moderne, un outil de devinette de mot de passe peut essayer de l'ordre de milliards de candidats ZipCrypto par seconde. Cela signifie qu'un mot courant, un nom, une date, ou un mot de passe court sera probablement trouvé rapidement par une attaque par dictionnaire. C'est exactement la faiblesse que cible notre tentative de récupération intégrée au navigateur : une exécution bornée de mots de passe courants pour les cas faciles.

Deuxièmement, et plus frappant, ZipCrypto présente une faiblesse de texte clair connu qui ne dépend pas du tout du mot de passe. Si un attaquant possède une copie non chiffrée d'au moins un fichier situé dans l'archive, et des fichiers prévisibles comme des en-têtes standards ou des documents modèles sont courants, une technique appelée attaque à texte clair connu peut récupérer directement les clés internes de l'archive et tout déchiffrer. La force du mot de passe devient sans importance. C'est pourquoi ZipCrypto devrait être considéré comme inadapté à tout ce qui est réellement sensible.

WinZip AES : moderne et fort

Le chiffrement WinZip AES (vous le verrez listé comme AES-128 ou AES-256) a remplacé ZipCrypto pour quiconque avait besoin d'une vraie sécurité. Il utilise AES, le même chiffrement réputé qui protège les données bancaires et gouvernementales, et dérive la clé de chiffrement de votre mot de passe via un processus de hachage délibérément répété.

Il y a une nuance qu'il vaut la peine d'aborder honnêtement. WinZip AES utilise un nombre relativement faible de ces répétitions de hachage par rapport à d'autres formats chiffrés, ce qui signifie que tester des mots de passe contre lui est plus rapide que contre, disons, un PDF chiffré moderne. Dans des tests mesurés, un ZIP AES peut être attaqué bien plus vite qu'on pourrait le penser, assez vite pour qu'un mot de passe faible choisi par un humain puisse encore tomber en quelques secondes à quelques minutes.

Mais, et c'est le point clé, "plus rapide qu'un PDF" reste astronomiquement lent contre un mot de passe fort. Le nombre de mots de passe longs et aléatoires possibles est si vaste que même une attaque rapide épuise le temps et l'argent réalistes bien avant de réussir. Donc la limite honnête pour AES n'est pas le schéma, c'est le mot de passe : un mot de passe humain faible peut être récupérable ; un mot de passe long ou aléatoire ne l'est pas, par aucun outil gratuit.

Alors qu'est-ce qui peut vraiment être récupéré ?

En résumé : si votre archive est un ZipCrypto ancien avec un mot de passe faible ou courant, la récupération est réaliste, et notre outil la tentera dans votre navigateur. Si c'est du ZipCrypto et que vous avez une copie non chiffrée d'un fichier à l'intérieur, la technique du texte clair connu peut le récupérer quel que soit le mot de passe, bien que ce soit une méthode de bureau plutôt que web.

Si votre archive est du WinZip AES avec un mot de passe humain faible, une attaque dédiée peut encore le trouver, mais c'est un travail plus lourd qu'une exécution de dictionnaire dans le navigateur. Si c'est du WinZip AES avec un mot de passe fort, long, ou aléatoire, la réponse honnête est qu'il ne sera pas récupéré sans le mot de passe. Point final.

Dans chacun de ces cas, si vous connaissez réellement le mot de passe, le supprimer est trivial et instantané : voir comment supprimer un mot de passe ZIP. La récupérabilité ne devient une question que lorsque le mot de passe est perdu, ce qui est couvert dans ouvrir un ZIP protégé sans le mot de passe.

Comment savoir quel chiffrement utilise votre ZIP

Vous ne pouvez généralement pas le savoir juste en regardant le fichier dans un dossier, l'extension est .zip dans les deux cas. La façon la plus fiable est de l'inspecter avec un outil d'archivage. Dans 7-Zip, par exemple, ouvrir l'archive et consulter les propriétés d'un fichier affichera la méthode de chiffrement comme ZipCrypto ou AES-256. WinRAR et d'autres outils affichent des informations similaires.

Comme règle empirique : les archives créées il y a des années, ou par de simples fonctions intégrées "ajouter un mot de passe", sont souvent en ZipCrypto. Les archives créées délibérément pour la sécurité, surtout avec 7-Zip ou WinZip réglé sur AES, sont du type fort. En cas de doute, supposez qu'elle est forte, cela garde vos attentes honnêtes.

Quel que soit le schéma, le même principe de confidentialité s'applique à tout outil que vous utilisez dessus : votre archive ne devrait jamais être envoyée. C'est le sujet de est-il sûr de supprimer un mot de passe ZIP en ligne.

Comment vérifier et agir sur le chiffrement de votre ZIP

Un chemin rapide de "quel est ce chiffrement ?" à une archive propre et non protégée :

1. Inspectez l'archive. Ouvrez le ZIP dans un outil comme 7-Zip et vérifiez les propriétés d'un fichier pour voir s'il signale un chiffrement ZipCrypto ou AES-256.
2. Ouvrez l'outil dans le navigateur. Allez sur zippasswordremover.com. Tout le traitement reste sur votre appareil.
3. Supprimez un mot de passe connu, ou tentez un mot de passe faible. Si vous connaissez le mot de passe, entrez-le pour obtenir une copie propre. Sinon, et si l'archive est en ZipCrypto ancien faible, utilisez l'option de récupération de mot de passe faible pour essayer des mots de passe courants localement.
4. Acceptez le résultat honnête. Pour les archives AES fortes avec un mot de passe perdu, l'outil vous dira qu'il ne peut pas le récupérer, car aucun outil gratuit ne le peut. Concentrez-vous plutôt sur la recherche du mot de passe d'origine.

Questions fréquentes