Benutzerhandbuch
1. Über dieses Handbuch • 2. Was GravesZIP ist • 3. Formate • 4. Eine passwortgeschützte Nachricht öffnen • 5. Verschlüsselung • 6. Passwörter • 7. Verschlüsselung ist keine Signatur • 8. Sicher entpacken • 9. Ein Archiv prüfen • 10. Die Oberfläche • 11. Sprachen • 12. Barrierefreiheit • 13. Support
1. Über dieses Handbuch
Dieses Handbuch beschreibt GravesZIP 1.0: die Formate, die es verarbeitet, wie sich seine Verschlüsselung verhält, was es schützt und was nicht, und wie jeder Teil der Oberfläche zu bedienen ist. Nichts darin beschreibt eine Funktion, die nicht funktioniert; was geplant, aber noch nicht vorhanden ist, steht als solches am Ende von Die Oberfläche.
2. Was GravesZIP ist
Ein Archivprogramm: Es packt Dateien in Archive, entpackt sie wieder und kann verschlüsseln, was es packt.
Komprimierung und Verschlüsselung übernimmt SharpZipLib, eine seit Langem etablierte Open-Source-Bibliothek; sie wurden hier nicht neu implementiert. Archive, die GravesZIP erstellt, sind gewöhnliche ZIP-Dateien: Ein unverschlüsseltes lässt sich überall öffnen, auch mit der in Windows und macOS eingebauten Archivunterstützung. Ein verschlüsseltes lässt sich in jedem Programm öffnen, das die AES-256-Verschlüsselung von ZIP versteht — 7-Zip, WinZip und andere. Manche eingebauten ZIP-Werkzeuge, darunter ältere Versionen des Windows-eigenen, verstehen AES nicht und können ein verschlüsseltes Archiv aus keinem Programm öffnen; verwenden Sie GravesZIP oder eines der genannten.
Es stellt keine Netzwerkverbindungen her. Siehe die Datenschutzerklärung.
3. Formate
Diese Version verarbeitet ZIP.
Das ist die ganze Liste, und sie ist bewusst kurz. ZIP ist das Format, in dem die passwortgeschützten Nachrichten von GravesMail ankommen, es ist das Format, das jedes andere Archivprogramm lesen kann, und ein Format richtig zu beherrschen ist mehr wert als mehrere halb. Weitere Formate kommen hinzu; bis dahin wird dieses Handbuch sie nicht für sich beanspruchen.
7z, RAR, tar und die übrigen werden noch nicht unterstützt. GravesZIP enthält 7-Zip nicht und setzt nicht voraus, dass es installiert ist.
4. Eine passwortgeschützte Nachricht öffnen
Eine passwortgeschützte Nachricht aus GravesMail kommt als Anhang namens protected-message.zip an. Öffnen Sie ihn mit GravesZIP und geben Sie das Passwort ein, das der Absender Ihnen getrennt mitgeteilt hat — per Telefon oder SMS, niemals in der E-Mail selbst.
Darin finden Sie:
Die Anhänge werden bewusst umbenannt. Ein ZIP verschlüsselt, was in jeder Datei steht, lässt aber die Liste der Namen für jeden lesbar, der das Archiv in Händen hält. Eine Datei namens „layoff-list.xlsx“ würde sich also verraten, bevor irgendjemand das Passwort eingibt. message.html enthält die echten Namen.
Beim Öffnen einer solchen Nachricht gelangt nichts ins Netzwerk, und weder GravesZIP noch GravesWare bekommt das Passwort je zu sehen.
5. Verschlüsselung
Ein Passwort auf einem ZIP verschlüsselt es mit AES-256.
ZIP unterstützt zwei Verschlüsselungsverfahren, und eines davon ist gebrochen. Das ursprüngliche, ZipCrypto, fällt auf gewöhnlicher Hardware in Sekunden einem Known-Plaintext-Angriff zum Opfer, und es ist das, was die meisten Werkzeuge — 7-Zip eingeschlossen — standardmässig anwenden, wenn Sie ein ZIP-Passwort festlegen. GravesZIP verwendet es nie. Es gibt keine Einstellung dafür, weil es keinen Fall gibt, in dem es die richtige Antwort wäre.
Was die Verschlüsselung nicht abdeckt
Ein ZIP kann sein eigenes Inhaltsverzeichnis nicht verschlüsseln. Namen, Grössen und Zeitstempel von allem, was darin liegt, bleiben für jeden lesbar, der das Archiv in Händen hält, auch wenn der Inhalt es nicht ist. Das ist eine Grenze des Formats, nicht von GravesZIP, und kein ZIP-Werkzeug kann es besser.
Wenn schon die Namen heikel sind, benennen Sie die Dateien um, bevor Sie sie archivieren — genau das tut GravesMail, wenn es attachment-01 statt des echten Namens schreibt.
Auch die Archivdatei selbst hat einen Namen, eine Grösse und ein Änderungsdatum, und nichts davon ist verschlüsselt. Ein Archiv namens „resignation-letter.zip“ hat bereits zu viel gesagt.
GravesZIP wird nichts anderes vorgeben. Verlangen Sie ein verschlüsseltes ZIP mit verborgenem Inhaltsverzeichnis, lehnt es ab, statt stillschweigend ein lesbares zu schreiben.
6. Passwörter
Nicht von Ihnen, nicht von GravesWare, von niemandem. Es gibt keine Hintertür, keinen Wiederherstellungsschlüssel und kein Zurücksetzen. Wenn Sie es verlieren, ist das Archiv verloren. Dafür ist die Verschlüsselung da.
Bevor Sie die einzige Kopie von etwas löschen, weil sie jetzt in einem verschlüsselten Archiv liegt: Tun Sie es nicht.
Ein Passwort wählen
Das Passwort ist die gesamte Sicherheit. AES-256 ist nicht die Schwachstelle und wird es nie sein; ein erratbares Passwort ist es.
Länge schlägt Komplexität. Mehrere unzusammenhängende Wörter sind stärker und leichter zu merken als eine kurze Folge ersetzter Zeichen. „correct horse battery staple“ widersteht dem Erraten weit besser als „P@ssw0rd!“.
Verwenden Sie kein Passwort wieder, das Sie irgendwo anders benutzen. Ein Archiv kann das Konto überleben, von dem Sie das Passwort geborgt haben, und es kann an einem Ort landen, den Sie nicht vorgesehen hatten.
Wo GravesZIP es aufbewahrt
Im Arbeitsspeicher, für die Dauer des Vorgangs, und nirgends sonst. Es wird nie auf den Datenträger geschrieben. Eine Option „Passwort merken“ gibt es nicht, und das ist Absicht.
Die Grenzen dieses Schutzes beschreibt die Datenschutzerklärung.
7. Verschlüsselung ist keine Signatur
Ein Passwort beweist, dass derjenige, der das Archiv erstellt hat, es kannte. Es beweist nicht, wer das war, und es beweist nicht, dass das Archiv, das Sie erhalten haben, dasjenige ist, das abgeschickt wurde — wer das Passwort kennt, kann ein anderes Archiv erstellen, das sich damit genauso gut öffnen lässt.
Verschlüsselung verhindert, dass Inhalte gelesen werden. Festzustellen, wer etwas erstellt hat, ist ein anderes Problem, und dieses Programm löst es nicht.
8. Sicher entpacken
Ein Archiv von jemand anderem ist eine nicht vertrauenswürdige Eingabe.
GravesZIP schreibt keine Datei ausserhalb des Ordners, den Sie wählen. Es gibt Archive, die Pfade wie „../../.ssh/authorized_keys“ enthalten, damit ein unachtsames Entpackprogramm dorthin schreibt, wohin der Pfad zeigt. GravesZIP lehnt solche Archive rundweg ab und bricht das Entpacken ab, statt den Eintrag zu überspringen. So kann ein bösartiges Archiv nicht teilweise landen.
GravesZIP untersucht das Entpackte nicht auf Schadsoftware. Das ist Aufgabe Ihres Antivirenprogramms.
9. Ein Archiv prüfen
Datei > Archiv testen dekomprimiert jeden Eintrag und prüft ihn gegen die mit ihm gespeicherte Prüfsumme, ohne etwas auf den Datenträger zu schreiben. Das bestätigt, dass das Archiv unversehrt ist und, bei einem verschlüsselten Archiv, dass das Passwort stimmt. Wird ein Passwort gebraucht, wird danach gefragt, und noch einmal, wenn das eingegebene falsch ist.
Die Antwort kommt in klaren Worten: Entweder wurde jedes Element geprüft und das Archiv ist unversehrt, oder mindestens ein Element stimmt nicht mit seiner Prüfsumme überein und das Archiv ist beschädigt. Ein beschädigtes Archiv gibt mit „Auswahl entpacken“ womöglich noch einige seiner Dateien her; besorgen Sie sich eine frische Kopie, wenn Sie können.
Es bestätigt nicht, woher das Archiv stammt oder wer es erstellt hat.
10. Die Oberfläche
Das Fenster
Ist kein Archiv geöffnet, bietet das Fenster „Öffnen“ und „Neues Archiv“ als Schaltflächen an. Ist eines geöffnet, listet es den Inhalt auf: Name und Ordner jedes Elements, seine Grösse und den Zeitpunkt der letzten Änderung, in alphabetischer Reihenfolge. Ein Vorhängeschloss neben einer Zeile bedeutet, dass der Inhalt dieses Elements verschlüsselt ist.
Jede Archivaktion steht im Menü „Datei“, und dieselben Aktionen stehen im Kontextmenü: Klicken Sie mit der rechten Maustaste irgendwo ins Fenster oder drücken Sie Umschalt+F10 oder die Menütaste. Aktionen, die ein geöffnetes Archiv oder eine Auswahl brauchen, sind ausgegraut, bis es eines oder eine gibt.
Ein Archiv öffnen
Datei > Öffnen, oder übergeben Sie den Pfad des Archivs auf der Befehlszeile — das geschieht, wenn GravesZIP als Programm für .zip-Dateien eingestellt ist oder wenn ein Archiv auf sein Symbol gezogen wird. Die Microsoft-Store-Version bietet sich in der Windows-Liste „Öffnen mit“ für .zip-Dateien an.
Das Inhaltsverzeichnis erscheint sofort, auch bei einem verschlüsselten Archiv. Das ist keine Sicherheitslücke: Das Verzeichnis eines ZIP ist nicht verschlüsselt, Namen, Grössen und Datumsangaben sind also für jeden lesbar, der die Datei in Händen hält.
Entpacken
Datei > Alles entpacken entpackt alles. Datei > Auswahl entpacken entpackt nur die Zeilen, die Sie ausgewählt haben — klicken Sie eine an, für mehrere mit Strg+Klick oder Umschalt+Klick. Wer die Zeile eines Ordners auswählt, bekommt alles in diesem Ordner mit.
In beiden Fällen wählen Sie, wohin die Dateien sollen. An dieser Stelle fragt ein verschlüsseltes Archiv nach seinem Passwort, weil es hier zum ersten Mal wirklich gebraucht wird. Ist das Passwort falsch, sagt GravesZIP das und fragt erneut, statt den ganzen Vorgang scheitern zu lassen.
Nichts wird geschrieben, bevor das Ziel jedes Eintrags geprüft wurde. Ein Archiv, das einen Pfad enthält, der aus dem von Ihnen gewählten Ordner hinausführt, wird vollständig abgelehnt. So kann es nicht die Hälfte seines Inhalts zurücklassen.
Testen
Datei > Archiv testen. Siehe oben Ein Archiv prüfen.
Ein Archiv erstellen
Datei > Neues Archiv. Fügen Sie die gewünschten Dateien und Ordner hinzu; jedes Element wird mit seinem Namen aufgeführt, darunter der Ordner, aus dem es stammt. Wählen Sie, wie stark komprimiert werden soll, und legen Sie auf Wunsch ein Passwort fest. Ein Ordner wird als Ganzes hinzugefügt, mit allem, was darunter liegt, und behält im Archiv seinen Namen.
Die Komprimierung bietet drei Stufen statt einer Skala von neun:
Lassen Sie das Passwort leer, wenn Sie ein gewöhnliches Archiv möchten. Geben Sie eines ein, erscheint ein zweites Feld zur Bestätigung, weil sich ein Passwort nicht wiederherstellen lässt: Ein Tippfehler macht das Archiv von dem Moment an unlesbar, in dem es geschrieben wird, und nichts kann Ihnen das nachträglich sagen. Dazu erscheint der Hinweis, dass Dateinamen lesbar bleiben.
Das Archiv wird geöffnet, sobald es geschrieben ist. So sehen Sie, was hineingekommen ist, statt es glauben zu müssen.
Schliessen
Datei > Archiv schliessen. Das Passwort wird in diesem Moment aus dem Arbeitsspeicher gelöscht, statt dort zu bleiben, bis das Programm beendet wird.
Tastenkombinationen
Unter Windows und Linux verwenden sie Strg; auf einem Mac Command.
Die Menüs selbst öffnen sich mit Alt und dem unterstrichenen Buchstaben: Alt+D für Datei, Alt+H für Hilfe.
Was noch fehlt
Eine Datei aus einem Archiv heraus öffnen, ohne sie zu entpacken, Dateien zu einem bereits bestehenden Archiv hinzufügen und andere Formate als ZIP.
11. Sprachen
GravesZIP wird in 55 Sprachen ausgeliefert. Wählen Sie eine unter Hilfe > Sprache; die Liste nennt jede in ihrer eigenen Schrift, und die aktuelle ist markiert.
Englisch (einschliesslich britischer und australischer Schreibweise), Spanisch (Spanien und Lateinamerika), Französisch, Deutsch (einschliesslich Schweizer Hochdeutsch), Portugiesisch (europäisch und brasilianisch), Italienisch, Polnisch, Türkisch, Vietnamesisch, Indonesisch, Filipino, Niederländisch, Schwedisch, Finnisch, Rumänisch, Kroatisch, Bosnisch, Serbisch (lateinisch und kyrillisch), Malaiisch, Swahili, Yoruba, Igbo, Usbekisch, Griechisch, Russisch, Ukrainisch, Chinesisch (vereinfacht), Chinesisch (traditionell, Hongkong), Japanisch, Koreanisch, Thailändisch, Hindi, Bengalisch, Tamil, Pandschabi, Marathi, Nepali, Gujarati, Odia, Telugu, Kannada, Malayalam, Amharisch, Arabisch (einschliesslich Ägyptisch), Persisch, Urdu, Sindhi und Uigurisch.
Die Auswahl wird wirksam, wenn GravesZIP neu gestartet wird. Das ist keine Einschränkung, die umgangen wird: Ein Fenster liest die Sprache, wenn es aufgebaut wird, und seine Richtung – von links nach rechts oder von rechts nach links – steht in diesem Moment fest. Ein Sprachwechsel unter einem Fenster, das bereits angezeigt wird, würde es halb übersetzt und in der falschen Richtung zurücklassen.
Solange Sie keine Auswahl getroffen haben, richtet sich GravesZIP nach der Sprache Ihres Betriebssystems.
Arabisch, Persisch, Urdu, Sindhi und Uigurisch ordnen die Oberfläche von rechts nach links an. Der Inhalt eines Archivs wird nicht gespiegelt: Ein Pfad wie „docs/report.txt“ behält in jeder Sprache seine Richtung, weil das Trennzeichen bedeutet, dass das Linke das Rechte enthält. Datei- und Ordnernamen in jeder Schrift werden in der Liste trotzdem korrekt angezeigt.
12. Barrierefreiheit
GravesZIP ist so gebaut, dass es sich ohne Sehvermögen bedienen lässt.
Screenreader
Jedes bedienbare Steuerelement trägt einen Namen, den ein Screenreader ansagen kann, auch die Dokumentbereiche im Dialog „Über“. Das wird bei jedem Build automatisch geprüft und nicht durch Augenschein – ein Steuerelement, das nicht angesagt werden kann, lässt den Build scheitern.
Tastatur
Die Menüs sind mit Alt und den unterstrichenen Buchstaben erreichbar; mit den Pfeiltasten bewegen Sie sich darin. Dialoge schliessen sich mit Esc, und ihre Standardschaltfläche reagiert auf Enter.
Das Sprachmenü verwendet Einträge im Stil von Optionsfeldern statt einer Dropdown-Liste, weil ein Screenreader ansagt, welcher Eintrag aktiviert ist. So hört ein blinder Mensch, welche Sprache gerade gilt, statt es erschliessen zu müssen.
Farbe und Kontrast
GravesZIP trägt die GravesWare-Farben, in einer hellen und einer dunklen Variante, die der Hell- oder Dunkel-Einstellung Ihres Systems folgen. Jeder Text darin erfüllt den WCAG-AA-Kontraststandard von 4,5 zu 1, und ein automatisierter Test lässt den Build scheitern, falls eine Änderung einen Wert jemals darunter senkt. Nichts wird allein durch Farbe vermittelt: Eine verschlüsselte Zeile hat ihr Vorhängeschloss, und ein Screenreader sagt „Verschlüsselt“.
Wenn Ihr System auf hohen Kontrast eingestellt ist, legt GravesZIP seine eigenen Farben beiseite und verwendet stattdessen das schlichte Systemdesign. Sie haben diese Farben gewählt, weil Sie sie brauchen, und eine App, die diese Wahl mit ihren eigenen Farben übermalt, hat sich selbst schwerer lesbar gemacht.
Grösse
Schaltflächen und Textfelder sind mindestens 44 Pixel hoch – das bequeme Minimum für einen Zeiger, einen Finger oder eine unruhige Hand. GravesZIP meldet sich unter Windows als skalierungsfähig an und bleibt deshalb bei 150 % oder 200 % scharf, statt gestreckt und unscharf dargestellt zu werden.
13. Support
GravesWare, LLC
support@gravesware.com
Die Adresse steht auch auf der Seite „Über“ (Hilfe > Über GravesZIP), zusammen mit der Schaltfläche „E-Mail an den Support“, die Ihr eigenes E-Mail-Programm öffnet – Adresse und Version sind bereits eingetragen. Nichts wird gesendet, bevor Sie es senden.
Bitte geben Sie an, welche Version Sie verwenden – der Dialog „Über“ zeigt sie an – und welches Betriebssystem. Bei allem, was ein verschlüsseltes Archiv betrifft: Senden Sie weder das Archiv noch das Passwort.