1. Об этом руководстве

Это руководство описывает GravesZIP 1.0: форматы, с которыми он работает, как ведёт себя его шифрование, что оно защищает и чего не защищает, и как пользоваться каждой частью интерфейса. В нём нет описаний функций, которые не работают; то, что запланировано, но ещё не сделано, перечислено как таковое в конце раздела Интерфейс.

2. Что такое GravesZIP

Менеджер архивов: он упаковывает файлы в архивы, распаковывает их обратно и может шифровать то, что упаковывает.

Сжатие и шифрование выполняет SharpZipLib — давно существующая библиотека с открытым исходным кодом; заново они здесь не реализованы. Архивы, которые создаёт GravesZIP, — обычные ZIP-файлы: незашифрованный открывается чем угодно, включая встроенную поддержку архивов в Windows и macOS. Зашифрованный открывается в любой программе, понимающей шифрование AES-256 для ZIP, — 7-Zip, WinZip и других. Некоторые встроенные средства работы с ZIP, включая средство прежних версий Windows, не понимают AES и не могут открыть зашифрованный архив, какой бы программой он ни был создан; используйте GravesZIP или одну из названных программ.

Он не устанавливает сетевых подключений. См. Заявление о конфиденциальности.

3. Форматы

Этот выпуск работает с ZIP.

Это весь список, и он намеренно короткий. В формате ZIP приходят сообщения GravesMail, защищённые паролем, его читает любой другой архиватор, а сделать один формат как следует важнее, чем несколько — частично. Другие форматы будут добавлены; пока этого не произошло, руководство не будет о них заявлять.

7z, RAR, tar и остальные пока не поддерживаются. GravesZIP не включает 7-Zip и не требует, чтобы он был установлен.

4. Открытие сообщения, защищённого паролем

Сообщение из GravesMail, защищённое паролем, приходит в виде вложения с именем protected-message.zip. Откройте его в GravesZIP и введите пароль, который отправитель сообщил вам отдельно — по телефону или в текстовом сообщении, но ни в коем случае не в самом письме.

Внутри вы найдёте:

Вложения переименованы намеренно. ZIP шифрует то, что находится внутри каждого файла, но оставляет список имён читаемым для любого, у кого есть архив, так что файл с именем «layoff-list.xlsx» выдал бы себя ещё до того, как кто-нибудь введёт пароль. Настоящие имена указаны в message.html.

При открытии такого сообщения ничего не попадает в сеть, и ни GravesZIP, ни GravesWare никогда не видят пароль.

5. Шифрование

Если для ZIP задан пароль, архив шифруется с помощью AES-256.

ZIP поддерживает два шифра, и один из них взломан. Исходный шифр, ZipCrypto, поддаётся атаке с известным открытым текстом за секунды на обычном оборудовании, и именно его большинство программ — включая 7-Zip — применяет по умолчанию, когда вы задаёте пароль для ZIP. GravesZIP не использует его никогда. Настройки для него нет, потому что нет обстоятельств, при которых он был бы правильным выбором.

Что шифрование не защищает

ZIP не может зашифровать собственный список файлов. Имена, размеры и отметки времени всего, что внутри, остаются читаемыми для любого, у кого есть архив, хотя содержимое — нет. Это ограничение формата, а не GravesZIP, и ни одна программа для ZIP не может сделать лучше.

Если сами имена раскрывают лишнее, переименуйте файлы перед архивированием — именно так поступает GravesMail, когда пишет attachment-01 вместо настоящего имени.

У самого файла архива тоже есть имя, размер и дата изменения, и ничто из этого не зашифровано. Архив с именем «resignation-letter.zip» уже сказал слишком много.

GravesZIP не станет притворяться, что это не так. Если вы попросите его создать зашифрованный ZIP со скрытым списком файлов, он откажется, а не создаст втихую читаемый.

6. Пароли

Как его выбрать

Пароль — это вся защита целиком. AES-256 не является слабым местом и никогда им не станет; слабое место — пароль, который можно угадать.

Длина важнее сложности. Несколько не связанных между собой слов надёжнее и запоминаются легче, чем короткая строка с подставленными символами. «правильная лошадь батарея скрепка» угадать намного труднее, чем «P@ssw0rd!».

Не используйте повторно пароль, которым пользуетесь где-то ещё. Архив может пережить учётную запись, у которой вы позаимствовали пароль, и может оказаться там, где вы не предполагали.

Где GravesZIP его хранит

В памяти, на время операции, и больше нигде. Он никогда не записывается на диск. Параметра «запомнить этот пароль» нет — так задумано.

Пределы этой защиты описаны в Заявлении о конфиденциальности.

7. Шифрование — не подпись

Пароль доказывает, что создатель архива его знал. Он не доказывает, кто это был, и не доказывает, что полученный вами архив — тот самый, который вам отправили: тот, кто знает пароль, может создать другой архив, который открывается им точно так же.

Шифрование не даёт прочитать содержимое. Установить, кто что-либо создал, — отдельная задача, и эта программа её не решает.

8. Безопасное извлечение

Архив от другого человека — это недоверенные входные данные.

GravesZIP не запишет ни одного файла за пределы выбранной вами папки. Существуют архивы, в которых хранятся пути вроде «../../.ssh/authorized_keys», чтобы неосторожный распаковщик записал файл туда, куда указывает путь. GravesZIP отклоняет такие архивы сразу и останавливает извлечение, а не пропускает элемент, так что вредоносный архив не может попасть на компьютер частично.

GravesZIP не проверяет извлекаемое на вредоносные программы. Это задача вашего антивируса.

9. Проверка архива

«Файл» > «Проверить архив» распаковывает каждый элемент и сверяет его с сохранённой вместе с ним контрольной суммой, ничего не записывая на диск. Это подтверждает, что архив не повреждён, а для зашифрованного архива — что пароль верен. Программа спрашивает пароль, если он нужен, и спрашивает снова, если введён неверный.

Ответ даётся простыми словами: либо все объекты проверены и архив не повреждён, либо хотя бы один объект не совпадает со своей контрольной суммой и архив повреждён. Из повреждённого архива, возможно, ещё удастся достать часть файлов командой «Извлечь выбранное»; если можете, получите его свежую копию.

Проверка не подтверждает, откуда пришёл архив и кто его создал.

10. Интерфейс

Окно

Когда архив не открыт, в окне есть кнопки «Открыть» и «Новый архив». Когда открыт, в окне перечислено его содержимое: имя и папка каждого объекта, его размер и время последнего изменения, в алфавитном порядке. Замок рядом со строкой означает, что содержимое этого объекта зашифровано.

Все действия с архивом находятся в меню «Файл», и те же действия есть в контекстном меню: щёлкните правой кнопкой мыши в любом месте окна либо нажмите Shift+F10 или клавишу Menu. Действия, для которых нужен открытый архив или выделение, недоступны и показаны серым, пока его нет.

Открытие архива

«Файл» > «Открыть» или передайте путь к архиву в командной строке — так и происходит, когда GravesZIP назначен программой для файлов .zip или когда архив перетаскивают на его значок. Версия из Microsoft Store предлагает себя для файлов .zip в списке Windows «Открыть с помощью».

Список появляется сразу, даже для зашифрованного архива. Это не брешь в защите: оглавление ZIP не шифруется, поэтому имена, размеры и даты может прочитать любой, у кого есть файл.

Извлечение

«Файл» > «Извлечь всё» распаковывает всё. «Файл» > «Извлечь выбранное» распаковывает только выбранные вами строки — щёлкните одну, а чтобы выбрать ещё, щёлкайте с нажатой клавишей Ctrl или Shift. Если выбрать строку папки, вместе с ней извлекается всё, что в этой папке находится.

В обоих случаях выберите, куда поместить файлы. Именно здесь зашифрованный архив спрашивает пароль, потому что это первый момент, когда он действительно нужен. Если пароль неверен, GravesZIP сообщает об этом и спрашивает снова, а не прерывает всю операцию.

Ничего не записывается, пока не проверено место назначения каждого элемента. Архив, содержащий путь за пределы выбранной вами папки, отклоняется целиком, так что он не может оставить после себя половину содержимого.

Проверка

«Файл» > «Проверить архив». См. выше раздел Проверка архива.

Создание архива

«Файл» > «Новый архив». Добавьте нужные файлы и папки; каждый объект указан по имени, а под ним — папка, из которой он взят. Выберите, насколько сильно сжимать, и при желании задайте пароль. Папка добавляется целиком, со всем, что в ней находится, и сохраняет в архиве своё имя.

Для сжатия предлагаются три уровня, а не шкала из девяти:

Оставьте поле пароля пустым, чтобы получить обычный архив. Введите пароль, и появится второе поле для его подтверждения, потому что пароль восстановить невозможно: пароль, введённый с опечаткой, делает архив нечитаемым с момента записи, и ничто не сообщит вам об этом потом. Вместе с ним появляется напоминание о том, что имена файлов остаются читаемыми.

Архив открывается сразу после записи, так что вы видите, что в него попало, а не принимаете это на веру.

Закрытие

«Файл» > «Закрыть архив». Пароль стирается из памяти в этот момент, а не остаётся в ней до выхода из программы.

Сочетания клавиш

В Windows и Linux в них используется Ctrl; на Mac — Command.

Сами меню открываются клавишей Alt и подчёркнутой буквой: Alt+Ф — «Файл», Alt+С — «Справка».

Чего пока нет

Открытие файла внутри архива без извлечения, добавление файлов в уже существующий архив и форматы, отличные от ZIP.

11. Языки

GravesZIP поставляется на 55 языках. Выберите язык в меню «Справка» > «Язык»; каждый язык в списке назван в собственной письменности, текущий отмечен.

Английский (включая британскую и австралийскую орфографию), испанский (Испания и Латинская Америка), французский, немецкий (включая швейцарский), португальский (европейский и бразильский), итальянский, польский, турецкий, вьетнамский, индонезийский, филиппинский, нидерландский, шведский, финский, румынский, хорватский, боснийский, сербский (латиница и кириллица), малайский, суахили, йоруба, игбо, узбекский, греческий, русский, украинский, китайский упрощённый, китайский традиционный (Гонконг), японский, корейский, тайский, хинди, бенгальский, тамильский, панджаби, маратхи, непальский, гуджарати, ория, телугу, каннада, малаялам, амхарский, арабский (включая египетский), персидский, урду, синдхи и уйгурский.

Выбор вступает в силу после перезапуска GravesZIP. Это не обход какого-то ограничения: окно считывает язык в момент создания, и тогда же закрепляется его направление — слева направо или справа налево. Если сменить язык под уже открытым окном, оно останется наполовину переведённым и повёрнутым не в ту сторону.

Пока вы не сделали выбор, GravesZIP использует язык операционной системы.

В арабском, персидском, урду, синдхи и уйгурском интерфейс располагается справа налево. Содержимое архива не зеркалируется: путь вроде «docs/report.txt» сохраняет направление в любом языке, потому что разделитель означает, что левая часть содержит правую. Имена файлов и папок в любой письменности при этом отображаются в списке правильно.

12. Специальные возможности

GravesZIP сделан так, чтобы им можно было пользоваться без зрения.

Программы экранного доступа

У каждого элемента управления, которым можно пользоваться, есть имя, которое может произнести программа экранного доступа, — включая панели документов в окне «О программе». Это проверяется автоматически при каждой сборке, а не на глаз: если элемент нельзя озвучить, сборка не проходит.

Клавиатура

Меню открываются клавишей Alt и подчёркнутыми буквами, а перемещаться по ним можно клавишами со стрелками. Диалоговые окна закрываются клавишей Escape, а их кнопка по умолчанию срабатывает по Enter.

В меню языка используются пункты-переключатели, а не раскрывающийся список, потому что программа экранного доступа сообщает, какой пункт отмечен. Так незрячий пользователь слышит, какой язык сейчас действует, и ему не приходится об этом догадываться.

Цвет и контрастность

GravesZIP оформлен в цветах GravesWare, в светлом и тёмном вариантах, которые следуют светлой или тёмной теме вашей системы. Любой текст в них соответствует стандарту контрастности WCAG AA — 4,5 к 1, и автоматический тест не пропустит сборку, если какое-либо изменение опустит контрастность ниже этого значения. Ничто не передаётся одним только цветом: у зашифрованной строки есть значок замка, а программа экранного доступа произносит «Зашифрован».

Когда в системе включён режим высокой контрастности, GravesZIP отказывается от собственных цветов и использует обычную системную тему. Вы выбрали эти цвета, потому что они вам нужны, и приложение, которое перекрашивает себя поверх этого выбора, только хуже читается.

Размер

Высота кнопок и текстовых полей — не менее 44 пикселей: это удобный минимум для указателя, пальца или нетвёрдой руки. В Windows GravesZIP объявляет, что учитывает масштабирование экрана, поэтому при 150% или 200% изображение остаётся чётким, а не растянутым и размытым.

13. Поддержка

GravesWare, LLC
support@gravesware.com

Адрес указан также на странице «О программе» (Справка > О программе GravesZIP), где есть кнопка «Написать в поддержку»: она открывает вашу почтовую программу с уже заполненными адресом и номером версии. Ничего не отправляется, пока вы сами не отправите письмо.

Пожалуйста, укажите, какая у вас версия (она показана в окне «О программе») и какая операционная система. Если вопрос касается зашифрованного архива, не присылайте ни архив, ни пароль.