Czy to błąd szyfrowania zip?

Niedawno odkryłem exploita, w którym mogę (lub zakładam, że ktoś) ponownie zaszyfrować mój zaszyfrowany plik zip bez konieczności znajomości hasła:

#zip --encrypt encrypted.zip -r dir1/

Powyższe spowoduje wyświetlenie monitu o wprowadzenie nowego hasła. Czy czegoś mi brakuje, czy to znany problem?

Archiwa zip mogą mieć wiele haseł dla różnych zawartych plików. Pliki w archiwum są zasadniczo niezależne od siebie - są kompresowane bez względu na inne pliki i są szyfrowane w ten sam sposób. Twój encrypted.zipbędzie miał dwa (lub więcej) zaszyfrowanych segmenty, jeden z oryginalnego hasła i jednego z nową.

Próba unzipuzyskania pliku wyświetli monit o podanie obu haseł:

$ unzip ../test.zip
Archive:  ../test.zip
[../test.zip] file1 password:
  inflating: file1
  inflating: file2
[../test.zip] newfile password:
  inflating: newfile

Katalog zawierający listę nazw plików nie jest szyfrowany. To nie jest błąd, choć może być mylący i nie wszystkie narzędzia zip dobrze radzą sobie z sytuacją (szczególnie narzędzia graficzne).