1. Over deze handleiding

Deze handleiding beschrijft GravesZIP 1.0: de indelingen die het verwerkt, hoe de versleuteling zich gedraagt, wat ze beschermt en wat niet, en hoe u elk deel van de interface gebruikt. Er staat niets in over een functie die niet werkt; wat gepland is maar er nog niet is, staat als zodanig vermeld aan het einde van De interface.

2. Wat GravesZIP is

Een archiefbeheerprogramma: het pakt bestanden in archieven in, pakt ze weer uit, en kan versleutelen wat het inpakt.

Compressie en versleuteling worden uitgevoerd door SharpZipLib, een opensourcebibliotheek die al lang bestaat, en zijn hier niet opnieuw geïmplementeerd. De archieven die GravesZIP maakt, zijn gewone ZIP-bestanden: een onversleuteld archief opent in alles, ook in de archiefondersteuning die in Windows en macOS is ingebouwd. Een versleuteld archief opent in elk programma dat de AES-256-versleuteling van ZIP begrijpt — 7-Zip, WinZip en andere. Sommige ingebouwde ZIP-hulpprogramma’s, waaronder die van oudere Windows-versies, begrijpen AES niet en kunnen een versleuteld archief van geen enkel programma openen; gebruik GravesZIP of een van de genoemde programma’s.

Het maakt geen netwerkverbindingen. Zie de Privacyverklaring.

3. Indelingen

Deze release verwerkt ZIP.

Dat is de hele lijst, en die is bewust kort. ZIP is de indeling waarin de met een wachtwoord beveiligde berichten van GravesMail aankomen, het is wat elk ander archiefprogramma kan lezen, en één indeling goed doen is meer waard dan er meerdere half doen. Er komen andere indelingen bij; tot die tijd maakt deze handleiding er geen aanspraak op.

7z, RAR, tar en de rest worden nog niet ondersteund. GravesZIP bevat 7-Zip niet en vereist niet dat het is geïnstalleerd.

4. Een met een wachtwoord beveiligd bericht openen

Een met een wachtwoord beveiligd bericht uit GravesMail komt aan als een bijlage met de naam protected-message.zip. Open die met GravesZIP en voer het wachtwoord in dat de afzender u apart heeft gegeven — per telefoon of sms, nooit in de e-mail zelf.

Daarin vindt u:

De bijlagen hebben bewust een andere naam gekregen. Een ZIP versleutelt wat er in elk bestand staat, maar laat de lijst met namen leesbaar voor iedereen die het archief in handen heeft; een bestand met de naam “ontslaglijst.xlsx” zou zichzelf dus al verraden voordat iemand het wachtwoord typt. De echte namen staan in message.html.

Bij het openen van zo’n bericht bereikt niets het netwerk, en GravesZIP noch GravesWare krijgt het wachtwoord ooit te zien.

5. Versleuteling

Een wachtwoordzin op een ZIP versleutelt die met AES-256.

ZIP ondersteunt twee versleutelingsalgoritmen, en een daarvan is gebroken. Het oorspronkelijke, ZipCrypto, bezwijkt op gewone hardware in seconden voor een known-plaintext-aanval, en het is wat de meeste hulpprogramma’s — ook 7-Zip — standaard toepassen wanneer u een ZIP-wachtwoord instelt. GravesZIP gebruikt het nooit. Er is geen instelling voor, omdat er geen omstandigheid is waarin het het juiste antwoord is.

Wat versleuteling niet dekt

Een ZIP kan zijn eigen inhoudslijst niet versleutelen. De namen, groottes en tijdstempels van alles wat erin zit, blijven leesbaar voor iedereen die het archief in handen heeft, ook al is de inhoud dat niet. Dit is een beperking van de indeling, niet van GravesZIP, en geen enkel ZIP-programma kan het beter.

Als de namen zelf gevoelig zijn, geef de bestanden dan een andere naam voordat u ze archiveert — precies wat GravesMail doet wanneer het attachment-01 schrijft in plaats van de echte naam.

Het archiefbestand heeft ook zelf een naam, een grootte en een wijzigingsdatum, en geen daarvan is versleuteld. Een archief met de naam “ontslagbrief.zip” heeft al te veel gezegd.

GravesZIP doet niet alsof het anders is. Als u het vraagt een versleuteld ZIP-bestand met verborgen inhoudslijst te maken, weigert het dat, in plaats van stilzwijgend een leesbaar bestand te schrijven.

6. Wachtwoordzinnen

Er een kiezen

De wachtwoordzin is de hele beveiliging. AES-256 is niet het zwakke punt en zal dat nooit zijn; een raadbare wachtwoordzin wel.

Lengte wint het van complexiteit. Een paar woorden die niets met elkaar te maken hebben, zijn sterker en makkelijker te onthouden dan een korte reeks vervangen tekens. “correct horse battery staple” is veel moeilijker te raden dan “P@ssw0rd!”.

Gebruik geen wachtwoordzin die u ook ergens anders gebruikt. Een archief kan langer bestaan dan het account waarvan u de wachtwoordzin hebt geleend, en kan terechtkomen op een plek die u niet had bedoeld.

Waar GravesZIP haar bewaart

In het geheugen, voor de duur van de bewerking, en nergens anders. Ze wordt nooit naar schijf geschreven. Er is bewust geen optie “dit wachtwoord onthouden”.

Zie de Privacyverklaring voor de grenzen van die bescherming.

7. Versleuteling is geen handtekening

Een wachtwoordzin bewijst dat de maker van het archief haar kende. Ze bewijst niet wie dat was, en ze bewijst niet dat het archief dat u hebt ontvangen het archief is dat is verstuurd — iemand die de wachtwoordzin kent, kan een ander archief maken dat er net zo goed mee opengaat.

Versleuteling voorkomt dat inhoud wordt gelezen. Vaststellen wie iets heeft gemaakt, is een ander probleem, en dit programma lost dat niet op.

8. Veilig uitpakken

Een archief van iemand anders is niet-vertrouwde invoer.

GravesZIP schrijft geen enkel bestand buiten de map die u kiest. Er bestaan archieven met paden als “../../.ssh/authorized_keys”, zodat een onzorgvuldig uitpakprogramma schrijft waar het pad maar naartoe wijst. GravesZIP weigert zulke archieven zonder meer en stopt het uitpakken in plaats van het item over te slaan, zodat een kwaadaardig archief niet gedeeltelijk kan belanden.

GravesZIP scant wat het uitpakt niet op malware. Dat is de taak van uw antivirussoftware.

9. Een archief controleren

Bestand > Archief testen decomprimeert elk item en controleert het aan de hand van de controlesom die erbij is opgeslagen, zonder iets naar schijf te schrijven. Het bevestigt dat het archief intact is en, bij een versleuteld archief, dat de wachtwoordzin juist is. Het vraagt om de wachtwoordzin als die nodig is, en vraagt er opnieuw om als de opgegeven wachtwoordzin onjuist is.

Het antwoord komt in gewone woorden: ofwel elk item is gecontroleerd en het archief is intact, ofwel minstens één item komt niet overeen met zijn controlesom en het archief is beschadigd. Uit een beschadigd archief zijn met Selectie uitpakken soms nog enkele bestanden te halen; zorg als het kan voor een nieuw exemplaar.

Het bevestigt niet waar het archief vandaan komt of wie het heeft gemaakt.

10. De interface

Het venster

Als er geen archief geopend is, biedt het venster Openen en Nieuw archief aan als knoppen. Als er een geopend is, toont het wat erin zit: van elk item de naam en de map, de grootte en wanneer het voor het laatst is gewijzigd, in alfabetische volgorde. Een hangslot naast een rij betekent dat de inhoud van dat item versleuteld is.

Elke archiefactie staat in het menu Bestand, en dezelfde acties staan in het snelmenu: klik ergens in het venster met de rechtermuisknop, of druk op Shift+F10 of de menutoets. Acties waarvoor een geopend archief of een selectie nodig is, zijn grijs totdat die er is.

Een archief openen

Bestand > Openen, of geef het pad van het archief mee op de opdrachtregel — dat is wat er gebeurt wanneer GravesZIP is ingesteld als het programma voor .zip-bestanden, of wanneer een archief op het pictogram wordt gesleept. De Microsoft Store-versie biedt zichzelf voor .zip-bestanden aan in de lijst “Openen met” van Windows.

De inhoudslijst verschijnt meteen, ook bij een versleuteld archief. Dat is geen beveiligingslek: de index van een ZIP is niet versleuteld, dus de namen, groottes en datums zijn leesbaar voor iedereen die het bestand in handen heeft.

Uitpakken

Bestand > Alles uitpakken pakt alles uit. Bestand > Selectie uitpakken pakt alleen de rijen uit die u hebt geselecteerd — klik op één rij, of gebruik Ctrl+klik of Shift+klik voor meer. Als u de rij van een map selecteert, gaat alles in die map mee.

In beide gevallen kiest u waar de bestanden moeten komen. Hier vraagt een versleuteld archief om zijn wachtwoordzin, omdat dit het eerste moment is waarop die echt nodig is. Als de wachtwoordzin onjuist is, meldt GravesZIP dat en vraagt het er opnieuw om, in plaats van de hele bewerking te laten mislukken.

Er wordt niets geschreven totdat de bestemming van elk item is gecontroleerd. Een archief met een pad dat buiten de gekozen map wijst, wordt in zijn geheel geweigerd, zodat het niet de helft van zijn inhoud kan achterlaten.

Testen

Bestand > Archief testen. Zie Een archief controleren hierboven.

Een archief maken

Bestand > Nieuw archief. Voeg de gewenste bestanden en mappen toe; elk staat vermeld met zijn naam, met daaronder de map waaruit het komt. Kies hoe sterk er moet worden gecomprimeerd, en stel desgewenst een wachtwoordzin in. Een map wordt in zijn geheel toegevoegd, met alles wat eronder staat, en behoudt in het archief zijn eigen naam.

Compressie biedt drie instellingen in plaats van een schaal van negen:

Laat de wachtwoordzin leeg voor een gewoon archief. Typ er een en er verschijnt een tweede veld om haar te bevestigen, omdat een wachtwoordzin niet kan worden hersteld: een typefout maakt het archief onleesbaar vanaf het moment dat het wordt geschreven, en niets kan u dat achteraf vertellen. Daarbij verschijnt een herinnering dat bestandsnamen leesbaar blijven.

Het archief wordt geopend zodra het is geschreven, zodat u kunt zien wat erin terecht is gekomen in plaats van daarop te moeten vertrouwen.

Sluiten

Bestand > Archief sluiten. De wachtwoordzin wordt op dat moment uit het geheugen gewist en blijft niet hangen totdat het programma wordt afgesloten.

Sneltoetsen

Op Windows en Linux gebruiken deze Ctrl; op een Mac Command.

De menu’s zelf opent u met Alt en de onderstreepte letter: Alt+B voor Bestand, Alt+H voor Help.

Wat er nog niet is

Een bestand in een archief openen zonder het uit te pakken, bestanden toevoegen aan een archief dat al bestaat, en andere indelingen dan ZIP.

11. Talen

GravesZIP wordt geleverd in 55 talen. Kies er een via Help > Taal; de lijst noemt elke taal in haar eigen schrift, en de huidige taal is gemarkeerd.

Engels (ook met Britse en Australische spelling), Spaans (Spanje en Latijns-Amerika), Frans, Duits (ook Zwitsers), Portugees (Europees en Braziliaans), Italiaans, Pools, Turks, Vietnamees, Indonesisch, Filipijns, Nederlands, Zweeds, Fins, Roemeens, Kroatisch, Bosnisch, Servisch (Latijns en cyrillisch), Maleis, Swahili, Yoruba, Igbo, Oezbeeks, Grieks, Russisch, Oekraïens, Vereenvoudigd Chinees, Traditioneel Chinees (Hongkong), Japans, Koreaans, Thai, Hindi, Bengaals, Tamil, Punjabi, Marathi, Nepalees, Gujarati, Odia, Telugu, Kannada, Malayalam, Amhaars, Arabisch (ook Egyptisch), Perzisch, Urdu, Sindhi en Oeigoers.

De keuze wordt actief wanneer GravesZIP opnieuw start. Dit is geen beperking waar omheen wordt gewerkt: een venster leest de taal op het moment dat het wordt opgebouwd, en de richting, van links naar rechts of van rechts naar links, ligt op dat moment vast. Zou de taal veranderen onder een venster dat al op het scherm staat, dan bleef het half vertaald achter en stond het de verkeerde kant op.

Zolang u niets hebt gekozen, volgt GravesZIP de taal van uw besturingssysteem.

Bij Arabisch, Perzisch, Urdu, Sindhi en Oeigoers wordt de interface van rechts naar links opgebouwd. De inhoud van een archief wordt niet gespiegeld: een pad als “docs/report.txt” houdt in elke taal zijn richting, omdat het scheidingsteken betekent dat het linkerdeel het rechterdeel bevat. Bestands- en mapnamen in elk schrift worden in de lijst nog steeds correct weergegeven.

12. Toegankelijkheid

GravesZIP is gebouwd om zonder zicht bruikbaar te zijn.

Schermlezers

Elk besturingselement dat u kunt bedienen, heeft een naam die een schermlezer kan voorlezen, ook de documentpanelen in het venster Over. Dit wordt bij elke build automatisch gecontroleerd en niet op het oog: een besturingselement dat niet kan worden voorgelezen, laat de build mislukken.

Toetsenbord

De menu’s zijn bereikbaar met Alt en de onderstreepte letters, en u loopt erdoorheen met de pijltoetsen. Dialoogvensters sluiten met Escape, en hun standaardknop reageert op Enter.

Het taalmenu gebruikt items in de vorm van keuzerondjes in plaats van een vervolgkeuzelijst, omdat een schermlezer voorleest welk item is aangevinkt. Zo hoort een blinde gebruiker welke taal op dat moment actief is, in plaats van het te moeten afleiden.

Kleur en contrast

GravesZIP draagt de kleuren van GravesWare, in een lichte en een donkere versie die de lichte of donkere instelling van uw systeem volgen. Alle tekst daarin voldoet aan de contrastnorm WCAG AA van 4,5 op 1, en een geautomatiseerde test laat de build mislukken als een wijziging het contrast ooit daaronder brengt. Niets wordt alleen met kleur overgebracht: een versleutelde rij heeft een hangslot, en een schermlezer zegt “Versleuteld”.

Staat uw systeem op hoog contrast, dan zet GravesZIP zijn eigen kleuren opzij en gebruikt het het kale systeemthema. U hebt die kleuren gekozen omdat u ze nodig hebt, en een app die zichzelf over die keuze heen schildert, heeft zichzelf moeilijker leesbaar gemaakt.

Grootte

Knoppen en tekstvelden zijn minstens 44 pixels hoog, het comfortabele minimum voor een aanwijzer, een vinger of een onvaste hand. GravesZIP meldt aan Windows dat het rekening houdt met beeldschermschaling, zodat het bij 150% of 200% scherp blijft in plaats van uitgerekt en wazig te worden.

13. Ondersteuning

GravesWare, LLC
support@gravesware.com

Het adres staat ook op de pagina Over (Help > Over GravesZIP), met een knop E-mail naar ondersteuning die uw eigen e-mailprogramma opent met het adres en uw versie al ingevuld. Er wordt niets verzonden totdat u het verzendt.

Vermeld welke versie u gebruikt (het venster Over toont die) en welk besturingssysteem. Gaat het om een versleuteld archief, stuur dan het archief en de wachtwoordzin niet mee.