1. Sobre este manual

Este manual descreve o GravesZIP 1.0: os formatos com que ele trabalha, como a criptografia dele se comporta, o que ela protege e o que não protege, e como usar todas as partes da interface. Nada nele descreve um recurso que não funcione; o que está planejado mas ainda não existe é indicado como tal no fim de A interface.

2. O que é o GravesZIP

Um gerenciador de arquivos compactados: ele empacota arquivos em arquivos compactados, desempacota-os de novo e pode criptografar o que empacota.

A compressão e a criptografia são feitas pela SharpZipLib, uma biblioteca de código aberto estabelecida há muito tempo, em vez de serem reimplementadas aqui. Os arquivos compactados que o GravesZIP cria são arquivos ZIP comuns: um não criptografado abre em qualquer coisa, incluindo o suporte a arquivos compactados integrado ao Windows e ao macOS. Um criptografado abre em qualquer programa que entenda a criptografia AES-256 do ZIP — 7-Zip, WinZip e outros. Algumas ferramentas ZIP integradas, incluindo versões mais antigas da ferramenta do próprio Windows, não entendem o AES e não conseguem abrir um arquivo compactado criptografado, seja de que programa for; use o GravesZIP ou um daqueles.

Ele não faz conexões de rede. Consulte a Declaração de privacidade.

3. Formatos

Esta versão trabalha com o formato ZIP.

Essa é a lista inteira, e ela é deliberadamente curta. O ZIP é o formato em que chegam as mensagens protegidas por senha do GravesMail, é o que todos os outros compactadores conseguem ler, e fazer um formato direito vale mais do que fazer vários pela metade. Outros formatos serão adicionados; até lá, este manual não os anunciará.

7z, RAR, tar e os demais ainda não têm suporte. O GravesZIP não inclui o 7-Zip e não exige que ele esteja instalado.

4. Abrir uma mensagem protegida por senha

Uma mensagem protegida por senha do GravesMail chega como um anexo chamado protected-message.zip. Abra-o com o GravesZIP e digite a senha que o remetente passou a você separadamente — por telefone ou por mensagem de texto, nunca no próprio e-mail.

Dentro você encontrará:

Os anexos são renomeados deliberadamente. Um ZIP criptografa o que está dentro de cada arquivo, mas deixa a lista de nomes legível para quem tiver o arquivo compactado, de modo que um arquivo chamado “lista-de-demissões.xlsx” se denunciaria antes de alguém digitar a senha. O message.html traz os nomes verdadeiros.

Nada do que acontece ao abrir uma dessas mensagens chega à rede, e nem o GravesZIP nem a GravesWare jamais veem a senha.

5. Criptografia

Uma senha em um ZIP o criptografa com AES-256.

O ZIP oferece suporte a duas cifras, e uma delas está quebrada. A original, ZipCrypto, cede a um ataque de texto simples conhecido em segundos em hardware comum, e é a que a maioria das ferramentas — incluindo o 7-Zip — aplica por padrão quando se define uma senha em um ZIP. O GravesZIP nunca a usa. Não há nenhuma configuração para ela, porque não há nenhuma circunstância em que ela seja a resposta certa.

O que a criptografia não cobre

Um ZIP não consegue criptografar a própria listagem de arquivos. Os nomes, os tamanhos e as datas de tudo o que está dentro continuam legíveis para quem tiver o arquivo compactado, embora o conteúdo não esteja. Esse é um limite do formato, não do GravesZIP, e nenhuma ferramenta ZIP consegue fazer melhor.

Se os próprios nomes forem sensíveis, renomeie os arquivos antes de compactá-los — que é exatamente o que o GravesMail faz quando grava attachment-01 em vez do nome verdadeiro.

O arquivo compactado também tem o seu próprio nome, tamanho e data de modificação, e nenhum deles é criptografado. Um arquivo compactado chamado “pedido-de-demissão.zip” já disse demais.

O GravesZIP não finge o contrário. Se você pedir que ele crie um ZIP criptografado com a listagem de arquivos oculta, ele recusa, em vez de gravar discretamente um arquivo legível.

6. Senhas

Escolher uma

A senha é toda a segurança. O AES-256 não é o ponto fraco e nunca será; uma senha fácil de adivinhar é.

O comprimento vence a complexidade. Várias palavras sem relação entre si são mais fortes e mais fáceis de lembrar do que uma sequência curta de caracteres substituídos. “cavalo correto bateria grampo” resiste muito melhor a tentativas de adivinhação do que “P@ssw0rd!”.

Não reutilize uma senha que você usa em outro lugar. Um arquivo compactado pode durar mais do que a conta da qual você pegou a senha emprestada, e pode ir parar em um lugar que você não pretendia.

Onde o GravesZIP a guarda

Na memória, enquanto dura a operação, e em nenhum outro lugar. Ela nunca é gravada em disco. Não há nenhuma opção “lembrar esta senha”, por design.

Consulte a Declaração de privacidade para conhecer os limites dessa proteção.

7. A criptografia não é uma assinatura

Uma senha prova que quem fez o arquivo compactado a conhecia. Não prova quem era essa pessoa, e não prova que o arquivo compactado que você recebeu é o que ela enviou — alguém que conheça a senha pode fazer um arquivo compactado diferente que abre igualmente bem com ela.

A criptografia impede que o conteúdo seja lido. Determinar quem fez alguma coisa é um problema à parte, e este programa não o resolve.

8. Extrair com segurança

Um arquivo compactado vindo de outra pessoa é uma entrada não confiável.

O GravesZIP não grava nenhum arquivo fora da pasta que você escolher. Existem arquivos compactados que armazenam caminhos como “../../.ssh/authorized_keys”, para que um extrator descuidado grave onde quer que o caminho aponte. O GravesZIP os recusa de imediato e interrompe a extração, em vez de pular a entrada, de modo que um arquivo compactado hostil não consegue ficar parcialmente no seu computador.

O GravesZIP não examina o que extrai em busca de malware. Essa tarefa cabe ao seu software antivírus.

9. Verificar um arquivo compactado

Arquivo > Testar arquivo compactado descompacta todas as entradas e verifica cada uma em relação à soma de verificação armazenada com ela, sem gravar nada em disco. Ele confirma que o arquivo compactado está intacto e, no caso de um arquivo compactado criptografado, que a senha está correta. Pede a senha se ela for necessária, e pede de novo se a informada estiver errada.

A resposta vem em palavras simples: ou todos os itens foram verificados e o arquivo compactado está intacto, ou pelo menos um item não corresponde à sua soma de verificação e o arquivo compactado está danificado. Um arquivo compactado danificado ainda pode entregar alguns dos seus arquivos com Extrair seleção; obtenha uma nova cópia dele, se puder.

Ele não confirma de onde o arquivo compactado veio nem quem o fez.

10. A interface

A janela

Sem nenhum arquivo compactado aberto, a janela oferece Abrir e Novo arquivo compactado como botões. Com um aberto, ela lista o que há dentro: o nome e a pasta de cada item, o tamanho e quando foi alterado pela última vez, em ordem alfabética. Um cadeado ao lado de uma linha significa que o conteúdo desse item está criptografado.

Todas as ações sobre arquivos compactados estão no menu Arquivo, e as mesmas ações estão no menu de contexto: clique com o botão direito em qualquer ponto da janela, ou pressione Shift+F10 ou a tecla Menu. As ações que precisam de um arquivo compactado aberto, ou de uma seleção, ficam esmaecidas até que haja um.

Abrir um arquivo compactado

Arquivo > Abrir, ou passe o caminho do arquivo compactado na linha de comando — que é o que acontece quando o GravesZIP está definido como o programa para arquivos .zip, ou quando um arquivo compactado é solto sobre o ícone dele. A versão da Microsoft Store se oferece para arquivos .zip na lista “Abrir com” do Windows.

A listagem aparece imediatamente, mesmo para um arquivo compactado criptografado. Isso não é uma falha de segurança: o índice de um ZIP não é criptografado, de modo que os nomes, os tamanhos e as datas são legíveis para quem tiver o arquivo.

Extrair

Arquivo > Extrair tudo desempacota tudo. Arquivo > Extrair seleção desempacota apenas as linhas que você selecionou — clique em uma, e Ctrl+clique ou Shift+clique para mais. Selecionar a linha de uma pasta traz junto tudo o que está dentro dessa pasta.

Nos dois casos, escolha onde colocar os arquivos. É aqui que um arquivo compactado criptografado pede a senha, porque este é o primeiro momento em que ela é realmente necessária. Se a senha estiver errada, o GravesZIP avisa e pede de novo, em vez de fazer a operação inteira falhar.

Nada é gravado até que o destino de todas as entradas tenha sido verificado. Um arquivo compactado que contenha um caminho que aponte para fora da pasta que você escolheu é recusado por inteiro, de modo que não pode deixar metade do conteúdo para trás.

Testar

Arquivo > Testar arquivo compactado. Consulte Verificar um arquivo compactado acima.

Criar um arquivo compactado

Arquivo > Novo arquivo compactado. Adicione os arquivos e as pastas que quiser; cada um é listado pelo nome, com a pasta de onde vem logo abaixo. Escolha o nível de compressão e, se quiser, defina uma senha. Uma pasta é adicionada por inteiro, incluindo tudo o que está abaixo dela, e mantém o próprio nome dentro do arquivo compactado.

A compressão oferece três configurações, em vez de uma escala de nove:

Deixe a senha em branco para um arquivo compactado comum. Digite uma e aparece um segundo campo para confirmá-la, porque uma senha não pode ser recuperada: uma senha digitada errado torna o arquivo compactado ilegível a partir do momento em que ele é gravado, e nada pode avisar você depois. Junto com ele aparece um lembrete de que os nomes dos arquivos continuam legíveis.

O arquivo compactado abre assim que é gravado, para que você possa ver o que entrou nele em vez de ter de confiar.

Fechar

Arquivo > Fechar arquivo compactado. A senha é apagada da memória nesse momento, em vez de permanecer até o programa ser encerrado.

Atalhos de teclado

No Windows e no Linux, eles usam Ctrl; em um Mac, Command.

Os próprios menus abrem com Alt e a letra sublinhada: Alt+A para Arquivo, Alt+J para Ajuda.

O que ainda não existe

Abrir um arquivo de dentro de um arquivo compactado sem extraí-lo, adicionar arquivos a um arquivo compactado que já existe e formatos além do ZIP.

11. Idiomas

O GravesZIP é distribuído em 55 idiomas. Escolha um em Ajuda > Idioma; a lista indica cada um em sua própria escrita, e o atual está marcado.

Inglês (incluindo a ortografia britânica e a australiana), espanhol (Espanha e América Latina), francês, alemão (incluindo o suíço), português (europeu e brasileiro), italiano, polonês, turco, vietnamita, indonésio, filipino, holandês, sueco, finlandês, romeno, croata, bósnio, sérvio (latino e cirílico), malaio, suaíli, iorubá, igbo, uzbeque, grego, russo, ucraniano, chinês simplificado, chinês tradicional (Hong Kong), japonês, coreano, tailandês, hindi, bengali, tâmil, punjabi, marata, nepalês, guzerate, oriá, télugo, canarês, malaiala, amárico, árabe (incluindo o egípcio), persa, urdu, sindi e uigur.

A escolha passa a valer quando o GravesZIP é reiniciado. Não se trata de contornar uma limitação: uma janela lê o idioma no momento em que é construída, e a sua direção, da esquerda para a direita ou da direita para a esquerda, fica fixada nesse momento. Mudar o idioma com uma janela já na tela a deixaria meio traduzida e virada para o lado errado.

Enquanto você não escolher, o GravesZIP segue o idioma do seu sistema operacional.

Em árabe, persa, urdu, sindi e uigur, a interface é disposta da direita para a esquerda. O conteúdo de um arquivo compactado não é espelhado: um caminho como “docs/report.txt” mantém a sua direção em todos os idiomas, porque o separador significa que o que está à esquerda contém o que está à direita. Os nomes de arquivos e pastas, em qualquer sistema de escrita, continuam sendo exibidos corretamente na lista.

12. Acessibilidade

O GravesZIP foi feito para poder ser usado sem a visão.

Leitores de tela

Todos os controles que podem ser acionados têm um nome que um leitor de tela consegue anunciar, incluindo os painéis de documentos da caixa Sobre. Isso é verificado automaticamente a cada compilação, e não por inspeção: um controle que não possa ser anunciado faz a compilação falhar.

Teclado

Os menus são acessados com Alt e as letras sublinhadas, e percorridos com as teclas de seta. As caixas de diálogo fecham com Escape, e o botão padrão delas responde a Enter.

O menu de idiomas usa entradas do tipo botão de opção em vez de uma lista suspensa, porque um leitor de tela anuncia qual entrada está marcada. É assim que um usuário cego ouve qual idioma está em vigor, em vez de ter de deduzi-lo.

Cor e contraste

O GravesZIP veste as cores da GravesWare, em uma versão clara e uma escura que seguem a configuração de modo claro ou escuro do seu sistema. Todo o texto nelas atende ao padrão de contraste WCAG AA de 4,5 para 1, e um teste automatizado faz a compilação falhar se alguma alteração deixar um deles abaixo disso. Nada é transmitido apenas pela cor: uma linha criptografada tem o seu cadeado, e um leitor de tela diz “Criptografado”.

Quando o seu sistema está configurado para alto contraste, o GravesZIP deixa de lado as suas próprias cores e usa o tema simples do sistema. Você escolheu essas cores porque precisa delas, e um aplicativo que se repinta por cima dessa escolha ficou mais difícil de ler.

Tamanho

Os botões e os campos de texto têm pelo menos 44 pixels de altura, o mínimo confortável para um ponteiro, um dedo ou uma mão pouco firme. O GravesZIP declara ao Windows que reconhece a escala da tela, por isso permanece nítido em 150% ou 200%, em vez de ser esticado e ficar desfocado.

13. Suporte

GravesWare, LLC
support@gravesware.com

O endereço também está na página Sobre (Ajuda > Sobre o GravesZIP), com um botão Enviar e-mail ao suporte que abre o seu próprio programa de e-mail com o endereço e a sua versão já preenchidos. Nada é enviado até que você envie.

Informe qual versão você está usando (a caixa Sobre mostra) e qual sistema operacional. Em tudo o que envolva um arquivo compactado criptografado, não envie o arquivo nem a senha.