Software-update: 7-Zip 19.00

Versie 19.00 van 7-Zip is uitgebracht. Dit opensource-archiveringsprogramma kan overweg met een groot aantal compressieformaten, waaronder zip, cab, rar, arj, lzh, chm, gzip, bzip2, z, tar, cpio, rpm, deb en uiteraard het zelfontwikkelde 7z. Verder is de software in staat om iso-bestanden en nsis-installatiepakketten te openen. In deze uitgave zijn de volgende veranderingen en verbeteringen aangebracht:

What's new after 7-Zip 18.06:

• Encryption strength for 7z archives was increased:
  the size of random initialization vector was increased from 64-bit to 128-bit, and the pseudo-random number generator was improved.
• Some bugs were fixed.

Versienummer	19.00
Releasestatus	Final
Besturingssystemen	Windows 7, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016
Website	7-Zip
Download	https://www.7-zip.org
Bestandsgrootte	1,38MB
Licentietype	GPL

Reacties (18)

Voor wie het "Encryption strength for 7z archives was increased" interessant klinkt, dan is dit ook een interessant stukje om te lezen. Het is van iemand die een (hele korte) code review gedaan had op de encryptie van 7-zip, erachter kwam dat het super shit is, en er een grappig verwoorde blog post over geschreven heeft: https://threadreaderapp.com/thread/1087848040583626753.html

Korte quote:

Aside from the fact that 7z XORs plaintext with zeroes, I was curious about the "RandomGenerator" which generates IV. That's when I vomited. The first comments say "This is not very good random number generator. Please use it only for salt." It is not used only for salt.

[Reactie gewijzigd door job_h op 22 februari 2019 16:55]

Toch ff schrikken. Ik gebruikte juist voor snelle backups regelmatig 7-zip in plaats van RAR sinds enkele jaren, omdat de RAR-encryptie toen (nog!) negatief werd beoordeeld. Uiterst curieus dat dat nog niet eerder iemand is opgevallen ook.

And there you have it folks. Open-source "many eyes have looked at it for years so it must be secure" crypto code. AES256-CBC but supplied with IVs half of which are zeroes, and the other generated by a toy RNG. That's just from a 30min review.

[Reactie gewijzigd door guillaume op 22 februari 2019 18:25]

"many eyes have looked at it for years so it must be secure"

De realiteit van open source projecten is dat er vaak 1 persoon met passie in zijn vrije tijd aan werkt en verder nooit iemand de code leest. Zelfs als je meerdere vrijwilligers hebt zijn de bijdragen van de meeste vaak klein. Als je consistente kwaliteit wilt zal je mensen moeten betalen om daar tijd in te steken - dat geeft uiteraard nog geen garantie, maar het is wel bijna een vereiste.

Daarom vind ik EU FOSSA bug bounty program wel een goed initiatief. €58.000 voor 7-zip
Er zijn trouwens ook bounties voor bijvoorbeeld Keepassv2, Notepad++ en PuTTY.

Oef, en de prio van de bug is 5 zonder nuttige reacties.. jammer zeg.

Juist dat punt is verbeterd in 19.00.
https://sourceforge.net/p/sevenzip/bugs/2176/#f227

Yep, looks like the RNG and IV are fixed now - I just looked at the new code.
Still the KDF could use more iterations, at least 10000 (currently it's 1000), but that's another thing.

Is het nou zoveel werk om die button-icoontjes een beetje op te frissen? Krijg altijd het Windows 95-gevoel als ik 7-zip open.

Wat boeit die interface rechte muisknop en je kan ook alles, ook die ouderwetse interface van vlc of winnar boeit echt niet.
Als het maar doet wat het moet doen dat is belangrijkste.

Die knopjes functioneren nog prima.
Je kunt natuurlijk altijd nog '7-Zip Theme Manager' downloaden en de skin aanpassen.
http://www.7ztm.de/index.php?cat=01_English&page=02_Download

7zip gaat vooral om functionaliteit. Wil je bloated fluff blijf dan lekker bij WinRar ofzo

Die ook niet zo veilig: https://www.theregister.c...2/20/winrar_security_bug/
En totaal niets over te vinden op tweakers??

Dat probleem is al opgelost. Het was afkomstig van een oude dll van 2005 voor het uitpakken van ace bestanden waarvan rarlab de source code kwijt was. In de meest recente versie van winrar hebben ze deze dll verwijderd. Dat staat zo in het artikel dat je aanhaalt.

[Reactie gewijzigd door jbijnens op 22 februari 2019 19:56]

De ace code is niet van rarlabs maar een externe library, deze is door de die maker nooit bij gewerkt.

Als je maar lang genoeg wacht wordt het vanzelf weer modern :-)

Dan gebruik je toch enkel de cli. Geen last meer van Windows 95 icoontjes.

Ik vind dat je gelijk hebt en daarbij hoeft ‘t echt niet groter te worden. Pak gewoon vector iconen zoals van material design en je hebt al een stuk frissere iconen.

Ondanks alle kritiekpunten vind ik 7-zip toch een van de pareltjes uit de vrij beschikbare software bibliotheek.