Seguridad y privacidad

Privacidad Contraseñas y cifrado Abrir comprimidos ajenos Tus archivos El instalador Tu equipo Reportar un problema

Privacidad: tus archivos no salen de tu equipo

• Huacal no lleva ningún componente para conectarse a internet, y la ventana tiene prohibido por configuración cargar cualquier cosa que no venga del propio programa.
• No hay telemetría: no cuenta cuántas veces lo usas, qué comprimes ni cómo se llaman tus archivos.
• No pide cuenta ni correo, y funciona igual sin conexión.
• Solo abre tu navegador cuando tú pulsas un enlace, como el de este sitio.
• Lo único que guarda son tus preferencias (formato, nivel, idioma y opciones parecidas), en tu equipo. Nunca guarda contraseñas.

Como no se conecta, Huacal tampoco te avisa solo cuando hay una versión nueva. Para eso está la página de versiones.

Contraseñas y cifrado

Cuando le pones contraseña a un comprimido, Huacal usa AES-256, el mismo cifrado que usan 7-Zip y WinRAR. Nunca usa el cifrado antiguo de zip (ZipCrypto), que hoy se rompe en poco tiempo.

• zip: AES-256 en el formato estándar de WinZip, el que entienden 7-Zip y WinRAR. Protege el contenido de cada archivo, pero los nombres de los archivos se ven sin la contraseña.
• 7z: AES-256 con la clave derivada de tu contraseña con SHA-256, como manda el formato. Con «Ocultar también los nombres de los archivos», sin la contraseña no se ve ni la lista.
• Primero comprime y luego cifra. Al revés no se podría comprimir: los datos cifrados parecen aleatorios. Huacal tiene una prueba automática que vigila justo eso.

Si olvidas la contraseña, no hay forma de recuperar el contenido. Huacal no la guarda ni la manda a ningún lado, y no existe una llave maestra. Esa es precisamente la protección.

Los formatos tar, gz, xz y bz2 no llevan contraseña. Si la necesitas, usa zip o 7z (ver qué formato usar).

Abrir comprimidos de otros

Un comprimido puede estar hecho con mala intención: con archivos llamados, por ejemplo, ..\..\Windows\algo.dll, para que al extraerlo se escriban fuera de la carpeta que elegiste. Al ataque se le conoce como zip slip.

Huacal revisa el nombre de cada archivo antes de extraerlo, en los cuatro tipos que abre (zip, 7z, tar y rar). Si alguno apunta fuera de la carpeta de destino o es una ruta absoluta, se detiene con un error y no escribe ese archivo.

Para abrir rar usa la biblioteca oficial de UnRAR, la misma que publica el autor de WinRAR.

Tus archivos

• Si un archivo no se puede leer al comprimir (por ejemplo, porque otro programa lo tiene abierto), Huacal lo omite y te lo dice al terminar. Nunca deja fuera un archivo sin avisarte.
• Si cancelas o algo falla, borra el comprimido a medio hacer en lugar de dejarte uno incompleto que parezca bueno.
• Al añadir o quitar archivos de un zip, trabaja sobre una copia y solo reemplaza el original al final. Si algo sale mal a la mitad, tu zip queda como estaba.
• «Verificar el comprimido al terminar» lo vuelve a abrir completo para confirmar que no tiene errores. Si falla, te lo dice como error, nunca como éxito.

El instalador

El instalador todavía no tiene firma digital, así que Windows avisa al abrirlo («Windows protegió su PC»). Pulsa Más información → Ejecutar de todas formas. Firmarlo es un trámite que se hará cuando el proyecto lo justifique.

Mientras tanto, cada instalador tiene su suma SHA-256 publicada en la página de versiones. Es como una huella: si un solo byte cambia, la suma es otra. Para comprobarla, abre PowerShell en la carpeta de la descarga y escribe:

Get-FileHash .\Huacal-setup-x64.exe -Algorithm SHA256

El resultado tiene que ser idéntico al publicado. Después de cada publicación, un servidor externo descarga los instaladores igual que lo haría cualquiera y comprueba que sus sumas coincidan con las del sitio.

Los autoextraíbles (.exe) que crees con Huacal tampoco llevan firma, y Windows también avisará a quien los abra.

Lo que cambia en tu equipo

• Se instala en Archivos de programa, para todas las cuentas del equipo.
• Agrega sus opciones al clic derecho del Explorador y aparece en «Abrir con». El menú se puede quitar desde Ajustes, con «Quitar del Explorador».
• Nunca se pone solo como programa predeterminado. En Windows eso lo decides tú, en Configuración. Huacal solo te lleva a esa pantalla si se lo pides.
• Al desinstalarlo se quitan el menú y las entradas de «Abrir con».

Los componentes de terceros que usa Huacal, con sus licencias, vienen listados en TERCEROS.txt, junto a Huacal.exe.

Reportar un problema de seguridad

Si encuentras un fallo de seguridad, escribe a [email protected] con los pasos para reproducirlo, antes de publicarlo en otro sitio. Así da tiempo de sacar una versión que lo corrija.