Proteger un archivo con contraseña

Cómo proteger con contraseña

1. 1

   Añade los archivos

   Hasta veinte a la vez, en cualquier formato. KMZ y KML son el motivo más habitual por el que la gente llega aquí. Un formato se trata de otra manera, y solo porque es posible: un PDF lleva la contraseña dentro de sí mismo.

2. 2

   Escribe la contraseña dos veces

   Ocho caracteres o más. Escribirla dos veces no es un trámite: si aquí te equivocas al teclearla, después no hay forma de recuperarla del archivo comprimido.

3. 3

   Descarga el archivo comprimido

   Un PDF vuelve como PDF, bloqueado con la propia contraseña. Todo lo demás vuelve en un único .zip con cada entrada cifrada. Quien lo recibe lo descomprime con la contraseña y obtiene el archivo original, byte a byte.

Por qué KMZ y KML van en un archivo comprimido y no llevan la contraseña dentro

Un archivo KML es XML, y un KMZ es un ZIP corriente con ese XML dentro. Ni la especificación del OGC que los define ni el propio Google Earth contemplan contraseñas, así que no hay ningún campo donde ponerla ni ningún lector que la vaya a pedir. Técnicamente se puede cifrar la entrada dentro de un KMZ y mantener el nombre .kmz, pero el resultado sería peor que inútil: el archivo parecería un mapa que funciona y fallaría sin avisar en cuanto alguien lo abriera. Por eso el archivo va dentro de un archivo comprimido cifrado. Quien lo recibe descomprime маршрут.kmz.zip con la contraseña, recupera маршрут.kmz sin cambios y lo abre en Google Earth como siempre. La extensión se conserva a propósito, porque Google Earth decide qué es un archivo mirándolo. El PDF es la única excepción, y se trata como tal: ese formato sí tiene contraseña propia. Por eso un PDF que traes aquí se cifra en el mismo archivo con AES-256 y se descarga como PDF, y cualquier lector lo abre en cuanto se escribe la contraseña.

AES-256, no la antigua contraseña de ZIP

La opción de contraseña de la mayoría de las herramientas ZIP de los años noventa usa un cifrado de flujo que cae ante un ataque de texto plano conocido en segundos, en un portátil normal. Basta con conocer unos pocos bytes de un archivo cuyo formato se pueda adivinar, y en un KMZ los primeros bytes son siempre los mismos. Esta herramienta solo escribe WinZip AE-2 con AES-256: una sal aleatoria de 16 bytes por entrada, la clave reforzada con PBKDF2 y un código de autenticación HMAC-SHA1, de modo que una manipulación se detecta en lugar de descifrarse como basura. No hay ningún menú con una opción más débil, porque una opción que existe es una opción que alguien acaba eligiendo.

Qué deja ver todavía el archivo comprimido

ZIP cifra el contenido de cada entrada, pero nunca el índice que las enumera. Cualquiera que tenga el archivo comprimido puede ver los nombres de los archivos, su tamaño y su fecha de modificación sin conocer la contraseña. Lo que no puede es leer ni un solo byte de lo que hay dentro. Si los nombres son en sí el secreto, renombra los archivos antes de protegerlos. Todo lo demás queda cubierto: sin la contraseña los bytes son ilegibles, y si la pierdes no hay forma de recuperarla, tampoco para nosotros. No se sube nada, así que no hay nada de dónde recuperarla.

Dónde se abre

El ZIP con cifrado AES es estándar desde 2003 y lo leen 7-Zip, WinRAR, Keka, Ark, PeaZip, The Unarchiver y el propio Explorador de Windows 11. Hay dos herramientas habituales que no lo leen: el comando unzip de Info-ZIP que traen las distribuciones de Linux más antiguas y el módulo zipfile integrado en Python. Las dos muestran bien el contenido del archivo comprimido y luego se niegan a extraerlo. En macOS lo abre la Utilidad de Archivo. Si tienes dudas, 7-Zip es gratis y está disponible en todas partes, y el extractor de este mismo sitio también lo lee.

Preguntas frecuentes