1. Informazioni su questo manuale

Questo manuale descrive GravesZIP 1.0: i formati che gestisce, come si comporta la sua crittografia, che cosa protegge e che cosa no, e come usare ogni parte dell’interfaccia. Nulla di ciò che vi è descritto è una funzione che non funziona; ciò che è previsto ma non c’è ancora è elencato come tale alla fine di L’interfaccia.

2. Che cos’è GravesZIP

Un gestore di archivi: comprime i file in archivi, li estrae di nuovo e può cifrare ciò che comprime.

La compressione e la crittografia sono affidate a SharpZipLib, una libreria open source di lunga data, anziché reimplementate qui. Gli archivi creati da GravesZIP sono normali file ZIP: uno non cifrato si apre con qualsiasi cosa, compreso il supporto per gli archivi integrato in Windows e macOS. Uno cifrato si apre in qualsiasi programma che comprenda la crittografia AES-256 di ZIP: 7-Zip, WinZip e altri. Alcuni strumenti ZIP integrati, comprese le versioni meno recenti di quello di Windows, non comprendono AES e non possono aprire un archivio cifrato, qualunque sia il programma che lo ha creato; usa GravesZIP o uno di quelli indicati.

Non effettua connessioni di rete. Consulta l'Informativa sulla privacy.

3. Formati

Questa versione gestisce il formato ZIP.

L’elenco è tutto qui, ed è breve di proposito. ZIP è il formato in cui arrivano i messaggi protetti da password di GravesMail, è quello che ogni altro programma di archiviazione sa leggere, e gestire bene un formato vale più che gestirne diversi in modo parziale. Altri formati verranno aggiunti; fino ad allora, questo manuale non li dichiarerà.

7z, RAR, tar e gli altri non sono ancora supportati. GravesZIP non include 7-Zip e non richiede che sia installato.

4. Aprire un messaggio protetto da password

Un messaggio protetto da password inviato da GravesMail arriva come allegato chiamato protected-message.zip. Aprilo con GravesZIP e inserisci la password che il mittente ti ha comunicato separatamente: per telefono o con un SMS, mai nell’e-mail stessa.

All’interno troverai:

Gli allegati sono rinominati di proposito. Un file ZIP cifra ciò che si trova all’interno di ogni file, ma lascia l’elenco dei nomi leggibile da chiunque abbia l’archivio, quindi un file chiamato “layoff-list.xlsx” (elenco dei licenziamenti) si annuncerebbe da solo prima che qualcuno digiti la password. message.html riporta i nomi veri.

Nulla, nell’apertura di uno di questi messaggi, raggiunge la rete, e né GravesZIP né GravesWare vedono mai la password.

5. Crittografia

Una passphrase su un file ZIP lo cifra con AES-256.

ZIP supporta due cifrari, e uno dei due è compromesso. L’originale, ZipCrypto, cede in pochi secondi a un attacco con testo in chiaro noto su hardware comune, ed è quello che la maggior parte degli strumenti, 7-Zip compreso, applica per impostazione predefinita quando imposti una password ZIP. GravesZIP non lo usa mai. Non esiste un’impostazione per usarlo, perché non esiste circostanza in cui sia la risposta giusta.

Che cosa la crittografia non copre

Un file ZIP non può cifrare il proprio elenco di file. I nomi, le dimensioni e le date di tutto ciò che contiene restano leggibili da chiunque abbia l’archivio, anche se il contenuto non lo è. È un limite del formato, non di GravesZIP, e nessuno strumento ZIP può fare di meglio.

Se sono i nomi stessi a essere riservati, rinomina i file prima di archiviarli: è esattamente ciò che fa GravesMail quando scrive attachment-01 al posto del nome vero.

Anche il file dell’archivio ha un proprio nome, una dimensione e una data di modifica, e nessuno di questi è cifrato. Un archivio chiamato “resignation-letter.zip” (lettera di dimissioni) ha già detto troppo.

GravesZIP non fingerà il contrario. Se gli chiedi di creare un archivio ZIP cifrato con l’elenco dei file nascosto, rifiuta anziché scriverne in silenzio uno leggibile.

6. Passphrase

Come sceglierla

La passphrase è tutta la sicurezza. AES-256 non è il punto debole e non lo sarà mai; una passphrase facile da indovinare sì.

La lunghezza conta più della complessità. Più parole senza relazione tra loro sono più robuste e più facili da ricordare di una breve stringa di caratteri sostituiti. “correct horse battery staple” resiste ai tentativi di indovinarla molto meglio di “P@ssw0rd!”.

Non riutilizzare una passphrase che usi altrove. Un archivio può sopravvivere all’account da cui hai preso in prestito la passphrase, e può finire dove non avevi previsto.

Dove la tiene GravesZIP

In memoria, per la durata dell’operazione, e in nessun altro posto. Non viene mai scritta su disco. Non esiste un’opzione “ricorda questa password”, per scelta di progetto.

Consulta l'Informativa sulla privacy per i limiti di questa protezione.

7. La crittografia non è una firma

Una passphrase dimostra che chi ha creato l’archivio la conosceva. Non dimostra chi fosse, e non dimostra che l’archivio che hai ricevuto sia quello che ha inviato: chi conosce la passphrase può creare un archivio diverso che si apre altrettanto bene con essa.

La crittografia impedisce che il contenuto venga letto. Stabilire chi ha creato qualcosa è un problema distinto, e questo programma non lo risolve.

8. Estrarre in sicurezza

Un archivio che arriva da qualcun altro è un input non attendibile.

GravesZIP non scrive alcun file fuori dalla cartella che scegli. Esistono archivi che memorizzano percorsi come “../../.ssh/authorized_keys”, così che un programma di estrazione poco attento scriva dovunque punti il percorso. GravesZIP li rifiuta in blocco e interrompe l’estrazione anziché saltare l’elemento, così un archivio ostile non può arrivare a destinazione nemmeno in parte.

GravesZIP non analizza ciò che estrae alla ricerca di malware. Quello è compito del tuo antivirus.

9. Verificare un archivio

File > Verifica archivio decomprime ogni elemento e lo controlla rispetto al checksum memorizzato con esso, senza scrivere nulla su disco. Conferma che l’archivio è integro e, per un archivio cifrato, che la passphrase è corretta. Chiede la passphrase se ne serve una, e la chiede di nuovo se quella fornita è errata.

La risposta arriva in parole semplici: o ogni elemento è stato controllato e l’archivio è integro, oppure almeno un elemento non corrisponde al proprio checksum e l’archivio è danneggiato. Un archivio danneggiato può comunque restituire alcuni dei suoi file con Estrai selezione; se puoi, procuratene una nuova copia.

Non conferma da dove proviene l’archivio né chi l’ha creato.

10. L’interfaccia

La finestra

Senza alcun archivio aperto, la finestra propone Apri e Nuovo archivio come pulsanti. Con un archivio aperto, ne elenca il contenuto: il nome e la cartella di ogni elemento, la dimensione e la data dell’ultima modifica, in ordine alfabetico. Un lucchetto accanto a una riga significa che il contenuto di quell’elemento è cifrato.

Ogni azione sull’archivio si trova nel menu File, e le stesse azioni sono nel menu del clic destro: fai clic con il pulsante destro in un punto qualsiasi della finestra, oppure premi Maiusc+F10 o il tasto Menu. Le azioni che richiedono un archivio aperto, o una selezione, restano disattivate finché non ce n’è uno.

Aprire un archivio

File > Apri, oppure passa il percorso dell’archivio sulla riga di comando: è ciò che accade quando GravesZIP è impostato come programma per i file .zip, o quando un archivio viene trascinato sulla sua icona. La versione Microsoft Store si propone per i file .zip nell’elenco “Apri con” di Windows.

L’elenco appare immediatamente, anche per un archivio cifrato. Non è una falla di sicurezza: l’indice di un file ZIP non è cifrato, quindi i nomi, le dimensioni e le date sono leggibili da chiunque abbia il file.

Estrarre

File > Estrai tutto estrae ogni cosa. File > Estrai selezione estrae solo le righe che hai selezionato: fai clic su una, oppure Ctrl+clic o Maiusc+clic per selezionarne altre. Selezionando la riga di una cartella si estrae anche tutto ciò che la cartella contiene.

In entrambi i casi, scegli dove mettere i file. È qui che un archivio cifrato chiede la passphrase, perché è il primo momento in cui serve davvero. Se la passphrase è errata, GravesZIP lo dice e la chiede di nuovo, anziché far fallire l’intera operazione.

Nulla viene scritto finché la destinazione di ogni elemento non è stata controllata. Un archivio che contiene un percorso che punta fuori dalla cartella che hai scelto viene rifiutato per intero, così non può lasciarsi dietro metà del suo contenuto.

Verificare

File > Verifica archivio. Vedi Verificare un archivio più sopra.

Creare un archivio

File > Nuovo archivio. Aggiungi i file e le cartelle che vuoi; ciascuno è elencato per nome, con sotto la cartella da cui proviene. Scegli quanto comprimere e, se vuoi, imposta una passphrase. Una cartella viene aggiunta per intero, con tutto ciò che contiene, e mantiene il proprio nome all’interno dell’archivio.

La compressione offre tre impostazioni anziché una scala di nove:

Lascia vuota la passphrase per un archivio normale. Se ne digiti una, appare un secondo campo per confermarla, perché una passphrase non può essere recuperata: una passphrase digitata male rende l’archivio illeggibile dal momento in cui viene scritto, e niente può avvisarti dopo. Insieme appare un promemoria che i nomi dei file restano leggibili.

L’archivio si apre appena è stato scritto, così puoi vedere che cosa ci è finito dentro anziché fidarti sulla parola.

Chiudere

File > Chiudi archivio. La passphrase viene cancellata dalla memoria in quel momento, anziché restarvi fino all’uscita dal programma.

Scorciatoie da tastiera

Su Windows e Linux usano Ctrl; su un Mac, Comando.

I menu stessi si aprono con Alt e la lettera sottolineata: Alt+F per File, Alt+A per Aiuto.

Che cosa non c’è ancora

Aprire un file contenuto in un archivio senza estrarlo, aggiungere file a un archivio già esistente, e i formati diversi da ZIP.

11. Lingue

GravesZIP è disponibile in 55 lingue. Scegline una da Aiuto > Lingua; l’elenco indica ciascuna nella propria scrittura, e quella corrente è contrassegnata.

Inglese (comprese le grafie britannica e australiana), spagnolo (Spagna e America Latina), francese, tedesco (compreso quello svizzero), portoghese (europeo e brasiliano), italiano, polacco, turco, vietnamita, indonesiano, filippino, olandese, svedese, finlandese, rumeno, croato, bosniaco, serbo (latino e cirillico), malese, swahili, yoruba, igbo, uzbeko, greco, russo, ucraino, cinese semplificato, cinese tradizionale (Hong Kong), giapponese, coreano, thailandese, hindi, bengalese, tamil, punjabi, marathi, nepalese, gujarati, odia, telugu, kannada, malayalam, amarico, arabo (compreso quello egiziano), persiano, urdu, sindhi e uiguro.

La scelta ha effetto al riavvio di GravesZIP. Non è un limite che si sta aggirando: una finestra legge la lingua nel momento in cui viene costruita, e in quel momento se ne fissa anche la direzione, da sinistra a destra o da destra a sinistra; cambiare lingua sotto una finestra già sullo schermo la lascerebbe tradotta a metà e orientata nel verso sbagliato.

Finché non hai scelto, GravesZIP segue la lingua del sistema operativo.

Arabo, persiano, urdu, sindhi e uiguro dispongono l’interfaccia da destra a sinistra. Il contenuto di un archivio non viene specchiato: un percorso come «docs/report.txt» mantiene la sua direzione in ogni lingua, perché il separatore significa che ciò che sta a sinistra contiene ciò che sta a destra. I nomi di file e cartelle, in qualsiasi sistema di scrittura, vengono comunque visualizzati correttamente nell’elenco.

12. Accessibilità

GravesZIP è costruito per poter essere usato senza la vista.

Lettori di schermo

Ogni controllo che si può azionare ha un nome che un lettore di schermo può annunciare, compresi i pannelli dei documenti nella finestra Informazioni. La verifica avviene automaticamente a ogni compilazione, non a occhio: un controllo che non può essere annunciato fa fallire la compilazione.

Tastiera

I menu si raggiungono con Alt e le lettere sottolineate, e si percorrono con i tasti freccia. Le finestre di dialogo si chiudono con Esc, e il loro pulsante predefinito risponde a Invio.

Il menu delle lingue usa voci a scelta esclusiva, come pulsanti di opzione, anziché un elenco a discesa, perché un lettore di schermo annuncia quale voce è selezionata. È così che un utente non vedente sente quale lingua è attualmente in uso, senza doverlo dedurre.

Colore e contrasto

GravesZIP veste i colori GravesWare, in una versione chiara e una scura che seguono l’impostazione chiara o scura del sistema. Ogni testo che vi compare rispetta lo standard di contrasto WCAG AA di 4,5 a 1, e un test automatico fa fallire la compilazione se una modifica ne porta uno sotto quella soglia. Nulla è comunicato dal solo colore: una riga cifrata ha il suo lucchetto, e un lettore di schermo dice «Cifrato».

Quando il sistema è impostato sul contrasto elevato, GravesZIP mette da parte i propri colori e usa il semplice tema di sistema. Quei colori li hai scelti perché ti servono, e un’app che ci ridipinge sopra i propri si è resa più difficile da leggere.

Dimensioni

Pulsanti e campi di testo sono alti almeno 44 pixel, il minimo comodo per un puntatore, un dito o una mano poco ferma. Su Windows GravesZIP si dichiara compatibile con il ridimensionamento dello schermo, quindi resta nitido al 150% o al 200% invece di essere stirato e sfocato.

13. Assistenza

GravesWare, LLC
support@gravesware.com

L’indirizzo si trova anche nella pagina Informazioni (Aiuto > Informazioni su GravesZIP), insieme al pulsante Scrivi all’assistenza, che apre il tuo programma di posta con l’indirizzo e la tua versione già compilati. Non viene inviato nulla finché non sei tu a inviarlo.

Indica quale versione stai usando (la mostra la finestra Informazioni) e quale sistema operativo. Per qualsiasi cosa riguardi un archivio cifrato, non inviare né l’archivio né la passphrase.