WinRAR ve 7Zip Şifrelerini Kırmak
Birçoğumuz dokümanlarımızı yahut kıymetli evraklarımızı bir ortada tertipli tutmak gayesiyle çeşitli programlar yardımıyla arşivliyor ve şifreliyoruz. Aksilik olacak ya, tekrardan o evraklara gereksinim duyduğumuzda parolasını unuttuğumuz için açamayabiliyoruz. Bazen de paroladaki tüm sözleri hatırlasak bile gerçek kombinasyonu tutturamadığımız için arşivdeki evraklara erişimi kaybediyoruz. İşte bu yazımızda arşivlerin parolalarını kırmak hedefiyle kullanabilecek yazılımları ve nasıl kullanılacağını anlatacağız.
Elcomsoft tarafından geliştirilip piyasaya sürülen birinci arşiv parolası kurtarma ve hücum aracı yaklaşık 24 sene evvel yani 1997 yılında piyasaya çıkan Advanced Zip Password Recovery idi. Yazılım o vakitler aşağıdaki üzere bir imgeye sahipti.
Fotoğraf Kaynağı: Elcomsoft.
Daha evvel hiç “shareware” terimini duymuş muydunuz? 90’lı ve 2000’li yıllarda birçok yazılım geliştiricinin rekabet ettiği en değerli şeylerden biri deneme müddetli yazılımlardı. Advanced Zip Password Recovery de Elcomsoft’un birinci deneme sürümü olan parola kurtarma yazılımlarından biriydi.
Aracın geliştirilmesindeki süreci Elcomsoft kendi bloğundaki yazısında “her şey bir müşterimiz için ZIP arşivini kırmaya çalışmamızla başladı” diyerek anlatıyor. Sonunda bu arşiv çeşidi için uğraşlar sonucunda kaba kuvvet saldırısı yapabilen bir komut satırı aracı tasarladık diye ekliyorlar.
Daha sonrasında aracın birinci GUI sürümü birkaç ay sonra yayınlanıyor. Daha fazla sıkıştırma dayanağı eklendikten sonra piyasaya birçoğunuzun bildiği arşiv şifresi kırma programı olan Advanced Archive Password Recovery sürülüyor.
Pekala ya Elcomsoft’un aracı Advanced Archive Password Recovery’i o devirde yavaş yavaş çıkmaya başlayan öteki araçlardan ayıran fark neydi? Aslında çok kolay. ZIP arşivlerin şifrelenme biçimindeki zayıflıklardan faydalanılıyordu. Bu formda yapılan akınlarla kaba kuvvet uygulanmadan şifre kombinasyonları yardımıyla arşiv kilidi açılabiliyordu.
Bir arşivin parolasını/şifresini kırmak için öncelikle arşivin hangi cinsten olduğunu öğrenmemizde fayda var. Çünkü her arşiv tipinde birebir halde şifreleme uygulanmış olmayabilir. Doğruca kaba kuvvet saldırısı sistemine başvurmak epeyce mantıksızdır.
Birinci yapmanız gereken şey, ufak ipuçları barındırabileceğinden arşivin kendisini incelemek. Belge isimleri şifreli mi, arşivin ismi nedir, evrakların isimleri nedir ve arşivin içinde tahminen ne var üzere bilgileri kenara not almalıyız. Ayrıyeten arşivin uzantısı ve ne vakit oluşturulduğu da hayli kıymetli. Birtakım arşivlerin parolası sıkıştırıldığı zamanki algoritmaya bağlı olarak daha farklı formlarda kırılabilmekte.
ZIP arşivleri kelam konusu olduğunda ekseriyetle şifreleme için kullanılan iki standart mevcut. Bunlardan biri eski Zip 2.0 şifrelemeyken, oburu daha inançlı olan AES algoritması. AES-128 ve AES-256 kullanılarak ZIP belgelerini hayli yüksek güvenlikle şifrelemek mümkün.
WinZip, ZIP belgelerinin şifrelenme biçimleriyle alakalı kendi web sitesinde bizlere şu bilgileri veriyor:
“Eski Zip 2.0 şifreleme: Bu eski şifreleme metodu, şifreye sahip olmayan ve evrakların ne olduğunu anlamaya çalışan sıradan kullanıcılar karşı muhafaza sağlar. Ama Zip 2.0 şifrelemesinin başkalarına kıyasla daha zayıf olduğu biliniyor ve özel parola kurtarma yazılımlarına karşı muhafaza sağlanması beklenmemeli.”
“Verilerinizi daha inançlı bir biçimde saklamak istiyorsanız Zip 2.0 şifrelemesinden uzak durmalısınız. Datalarınızın güvenliği sizin için kıymetliyse bunun yerine WinZip’in AES şifrelemesini kullanmayı düşünmelisiniz.”
AES algoritması uzun yıllar boyunca WinZip’in varsayılan şifrelemesi oldu. Tekrar de başka arşivleme programları ZIP’leri şifrelemek için çoklukla açık kaynaklı kimi bileşenlerden yardım alıyor. Hür kullanıma müsaade verilen açık kaynaklı bileşenler, ZIP sıkıştırma formatını Windows üzerinde yazılım geliştiricileri ortasında tercih edilen en tanınan format haline getirdi. Böylelikle ZIP, birçok kullanıcı için asıl sıkıştırma standardı halini aldı.
Bugün hala birebir açık kaynak bileşenleriyle oluşturulmuş birden çok uygulama, WinZip’in birinci sürümlerinde kullanılan, son derece modası geçmiş, AES öncesi şifreleme meselesiyle birlikte geliyor. Sonuç olarak şimdiki AES algoritmasıyla şifrelenenler kadar eski şifrelemenin kullanıldığı ZIP evrakları da görüyoruz.
Tek bir Xeon E5-2603 işlemci kullanarak klasik ZIP şifrelemesiyle korunan bir arşive saniyede 54 milyon parola denemesi ile kelamlık saldırısı yapabilirsiniz. Birebir güçteki bir bilgisayar kullanarak AES ile şifrelenmiş bir ZIP arşivine yapılan akında ise saniyede sırf 2400 şifre deneyebilirsiniz. Bu yaklaşık 22.500 kat daha yavaş olması manasına geliyor.
Şayet parolalarınızı daha süratli bir halde kurtarmak istiyorsanız Elcomsoft Distributed Password Recovery üzere GPU hızlandırmasından faydalanan araçları kullanabilirsiniz. Eski bir NVIDIA GTX 1080 ekran kartı yardımıyla AES algoritmasıyla şifrelenen ZIP arşivine saniyede 203000 parola denemesi yaparak saldırmak mümkün. Bu da tek başına işlemci gücü kullanılarak yapılan kaba kuvvet akınlarına kıyasla 85 kat daha süratli. Daha yeni olan NVIDIA Ampere mimarisiyle güçlendirilmiş ekran kartlarından birini kullanırsanız büyük olasılıkla kurtarma süratiniz bu inanılmaz sayıları da ikiye katlayacaktır.
Fotoğraf Kaynağı: Elcomsoft.
Eski ZIP şifrelemesi kullanan arşivlerin parolasını kırmak için yapabileceğiniz iki büyük hücum metodu mevcut. Bunlardan biri klasik düz metin saldırısı, oburu ise “guaranteed recovery attack” yani garantili kurtarma saldırısı.
Düz metin saldırısı, yepyeni parolaya yönelik uzun bir atak gerçekleştirmeye gerek kalmadan muhakkak başlı çeşitlerdeki ZIP arşivlerinin şifrelerinin çözülmesini sağlayan bir teknik. Günümüzde bu tekniği AES algoritmasıyla şifreli bir arşivde kullandığınızda bir işe yaramayacaktır. Sadece eski arşivler üzerinde epeyce işe yarıyor.
Bu akının temelinde ise aslında şifrelenmiş ZIP arşivinin içindekilerle eşleşen en az bir tane şifrelenmemiş evrak yahut bu evrakın bir kısmının bulunması gerekiyor. Bu stilde bir belgeniz ve tıpkı eski şifreleme algoritmasını kullanan kolay bir ZIP arşivleme yazılımınız bulunuyorsa arşivin parolasını süratlice kurtarmak için Advanced Archive Password Recovery içndeki “known plaintext attack” saldırısı seçeneğini kullanabilirsiniz. Bilhassa hücumun arşivi çözmek için yepyeni düz metnin şifresini kurtarmaya çalışması gerekmez lakin şifrelerin kurtarılma suratı çok daha fazla artar.
1990’lar boyunca ve 2000’lerin başlarında o periyodun en tanınan arşivleme aracı WinZip, ve Info-ZIP kaynaklarına dayanan başka araçların birçoğu rastgele sayı üretecine sahip bir güvenlik açığı barındırıyordu. Bu güvenlik açığı sayesinde “known plaintext attack” saldırısına emsal biçimde bir atak oluşturulabiliyordu lakin hayli büyük bir fark vardı, şifrelenmemiş rastgele bir belgeye gereksinim yoktu. Bu hücum cinsindeki tek sınırlama ise arşivin kırılması için en az 5 belgenin arşiv içerisinde olması gerekiyordu. WinZip bu açığı Ağustos 2001 yılında piyasaya sürdüğü 8.1 sürümüyle birlikte yamaladı.
Bu akın kullanılarak WinZip’in savunmasız sürümlerinde oluşturulan rastgele bir ZIP arşivinin yaklaşık %99,6’sı yahut daha anlaşılır bir tabirle 256 arşivden 255’i açılabilir.
Ancak AES ile şifreli ZIP arşivlerinin hiçbir vakit bu stil güvenlik açıklarına ve öteki bilinen güvenlik açıklarına sahip olmadığını unutmayın, parolalarınızı unutmamaya çalışın. Yoksa güçlü bir parolayı hatırlamadığınız takdirde arşivi açmanız neredeyse imkansıza yakın.
Mevzu şifrelemeye geldiğinde ne RAR ne de 7Zip arşiv formatında bilinen rastgele bir güvenlik açığı bulunmuyor. Bu formatlar için yapılabilecek tek şey kaba kuvvet yahut kelamlık hücumları ile deneme yanılma usullerini uygulamak. Hem RAR hem de 7Zip arşivleri müdafaa hedefiyle AES algoritması kullanılırken, parola müdafaasının uygulama formu farklıdır. Daha değişik olan ise eski ve yeni RAR arşivler ortasında (örneğin RAR4 ve RAR5) değerli ölçüde farklılıklar mevcut.
RAR4 Şifrelemesi
RAR4 arşivleme biçiminde WinRAR 128-bit yahut 256-bit şifreleme anahtarları ile AES şifreleme algoritmasını kullandı. Fakat kullanıcılar şifreli bir arşivi açmaya çalıştıklarında arşivleyici aslında hiçbir vakit bir şifreyi denetim etmiyordu. Öncelikle decryption süreci gerçekleşiyor daha sonra belgeler tam olarak işlendikten sonra sağlama toplamı belge sonunda denetim ediliyordu.
Bu nedenle bu algoritmayla arşivlenen evraklara karşı yapılan taarruzlar çok yavaştı. Şifrenin eşleşip eşleşmediğini anlamak için tüm belgelerin şifresinin çözülmesi gerekiyordu. Büyük evraklar içeren arşivlere deneme yanılma atakları yapmak bu nedenle neredeyse imkansıza yakın güç hale geliyordu.
RAR5 ile RAR4 Şifreleme Tekniği Farklılığı
Yeni RAR5 arşiv formatıyla bir arada WinRAR artık sıkıştırılmış evrakın içinde parolaya ilişkin bir karma (hash) kıymeti saklar ve ayıklama gerçekleşmeden evvel parolanın uyuşup uyuşmadığını denetim eder. RAR5’deki bu yeni değişikliğin asıl gayesi arşivden çıkarma sürecini hızlandırmaktı. Geliştiriciler seçilen hash tipinin şuurlu olarak yavaş olduğundan ve hücumları değerli ölçüde yavaşlatmak için PBKDF2’ye dayanıldığını söyledi.
Yeniden de RAR4 arşiv biçiminde olduğu üzere bir belgeyi ayıklama ve ondan sonra sağlama toplamı yapılıp denetimlerin sağlanması üzere süreçler olmadığından, RAR4’e kıyasla RAR5 arşivlerinin deneme yanılma hücumlarıyla kırılabilirliği çok daha süratli ve kolay diyebiliriz. RAR5 sayesinde sonunda nispeten daha katlanılır derecede süratli çalışan akın teknikleri oluşturulabildi.
7Zip Arşivlerin Şifrelemesi
7-zip.org’da yazdığına nazaran 7Zip evrakları CBC modundaki AES-256 algoritmasını kullanarak şifreler. Şifreleme anahatarı ise SHA-256’nın 524288 yani 2 üzeri 19 üzeri yinelemeleri kullanılarak türetilir. Farklı formda bu kadar katı güvenlik sunan 7Zip, arşivlerin güvenliği için ekstra bir salt bedeli kullanmıyor. Bu çeşitli ataklar için ufak bir zayıflık olarak görülebilir.
Pekala ya 7Zip arşivlerinin kırılabilirliği sürat manasında ne durumda? Bunun için Advanced Archive Password Recovery yerine çok daha süratli ve yeterli bir araç olan Elcomsoft Distributed Password Recovery aracını kullandığınızda 7Zip için aşağıdaki bedelleri görebilirsiniz.
Fotoğraf Kaynağı: Elcomsoft.
RAR5 kelam konusu olduğunda sayılar 7Zip arşivlere nazaran çok daha yüksek. Yani RAR5 arşivlere 7Zip arşivlere kıyasla yaklaşık 3 kat daha süratli saldırmak mümkün.
Fotoğraf Kaynağı: Elcomsoft.
Kaynak: Elcomsoft Blog
Kaynak: Technopat