當稽核通知、訴訟舉證或主管機關調閱突然抵達，資訊人員常會在舊備份目錄裡找到副檔名為 .7z 的封存檔：可能是數年前的系統日誌、資料庫匯出、郵件備份，或是專案結案時整包上鎖的證據資料。檔案還在，但當初設定密碼的同仁已經離職、交接文件隻字未提，密碼就這樣跟著失聯。
不同於一般辦公文件，調查與稽核情境的加密封存檔牽涉三個額外難題：存取必須合法授權、過程不能破壞證據力、封存往往體積龐大且年份久遠。本文以 7-Zip 的 7Z 格式為唯一焦點，說明如何判斷問題、保存證據、技術恢復，以及事後如何把教訓轉化成制度。
一、先分辨「打不開」的真正原因
在嘗試任何恢復手段前，請先確認症狀，因為「密碼錯誤」與「檔案損壞」的處理方向完全不同。
- 出現密碼錯誤提示：代表封存結構可讀，但金鑰驗證失敗，這才是密碼恢復的適用範圍。
- 出現 CRC 或資料錯誤：可能是傳輸中毀損、儲存媒體老化或分卷不完整，應先修復檔案，而非盲目猜密碼。
- 連檔案清單都看不到：建立封存時勾選了「加密檔案名稱」，7-Zip 會把目錄中繼資料一併上鎖；此時輸入正確密碼前，完全無法確認內容清單，這是正常的防護行為。
- 檔名為
.7z.001、.7z.002：這是分卷封存，必須把所有分卷放在同一資料夾，並從第一卷開啟；缺少任何一卷，都可能導致無法完整解壓。
另外要確認建立工具：7Z 格式通常由 7-Zip 產生，但也可能由其他壓縮軟體建立，版本差異會影響加密參數，後續提取特徵碼時需要留意。
二、看懂 7Z 加密機制：為什麼沒有「直接解鎖」
7Z 格式的加密以 AES-256 為核心，金鑰推演採用 SHA-256 反覆運算，並帶有反覆次數參數。這樣的設計有兩個實際含義：
- 不存在萬用密碼或官方後門。任何聲稱「免工具直接跳過密碼」「保證秒解」的說法，多半是詐騙或內含木馬程式，在調查案件中尤其不能使用，否則可能同時造成證據污染與二次個資外洩。
- 反覆運算讓逐筆嘗試的成本顯著提高。相對輕度加密的 ZIP，7Z 每一組候選密碼都要經過大量運算才能驗證，因此單機暴力嘗試的速度通常很慢；也因為如此，「猜得準」比「猜得多」更重要──高品質字典、密碼規律資料庫與遮罩策略的價值遠高於無頭蠻力。
若封存時一併加密了檔案名稱，攻擊者連內容類型都無法判斷，這正是 7Z 適合保存敏感日誌與證據資料的原因，但也意味著密碼一旦遺失，恢復門檻相對更高。
三、動工前的四件事：授權、保全、線索、紀錄
稽核與法務場景最忌諱「先解開再說」。建議依下列順序準備：
1. 確認合法授權
先確認你們對該封存檔具有合法存取權限，例如：檔案為組織所有、任務編列的調查授權、當事人書面同意，或其他法律依據。無授權的解密不僅有營業秘密與個資法風險，取得的內容日後也可能不被採認為證據。
2. 保留證據鏈
- 對原檔製作位元級複製，所有後續操作都在副本上進行；
- 計算並記錄原始檔案的 SHA-256 指紋；
- 以書面或系統紀錄留存「誰在何時因為什麼目的存取過檔案」，形成監管鏈（chain of custody）。
3. 蒐集密碼線索
在動用算力前，先把成本最低的線索盤點一遍：密碼管理員或共用保險箱、交接清單與結案報告、當時承辦人與主管、舊式 Email 與即時通訊紀錄、備份系統的設定頁。接著整理組織的密碼習慣，例如統一編號、員工編號、專案代碼、民國年月與常用尾數規律，這些是後續遮罩與規則攻擊的關鍵素材。
4. 記錄每次嘗試
將測試過的密碼、時間、操作者與結果留下紀錄，既可避免重複，也能向稽核或委任律師說明處理過程的正當性。
四、實際恢復作法：從自助排查到 GPU 叢集
步驟一：自助測試常見來源
先用少量高機率候選密碼測試，例如歷代系統預設密碼、承辦人習慣用語、專案名稱加日期的組合。測試時直接以封存軟體開啟即可，不需要先解壓全部內容；若檔案很大，可使用測試功能驗證密碼正確性，避免長時間解壓後才發現失敗。
步驟二：本機提取 Hash 特徵碼
專業恢復的第一步，通常是使用對應的提取工具（業界常見的 7z2john 類工具或相容方案），從封存標頭取出可供驗證的特徵碼，格式類似 $7z$...，當中包含反覆次數、鹽值與驗證資訊。
重點是：恢復計算只需要這段特徵碼，原始封存檔不必離開組織環境。對於含有個資、偵查資料或營業秘密的案件，這一點能大幅降低委外過程的外洩風險，也便於向法務與個資窗口解釋。
步驟三：選擇攻擊策略
常見策略有三類，實務上通常組合使用：
- 字典攻擊：比對常見密碼、洩漏密碼庫與組織專屬詞庫；
- 規則攻擊：在字根上加入大小寫變形、年份、常見符號與駝峰組合；
- 遮罩攻擊：依照已知規律限定格式，例如「固定英文碼＋民國年序＋四碼規則」，可把搜尋空間壓縮到可負荷的範圍。
步驟四：以 GPU 叢集應對高強度密碼
由於 7Z 的金鑰推演運算沉重，單機跑一晚可能只覆蓋極小的機率空間；對於長密碼、複雜變形或 GB 級大型封存，雲端 GPU 叢集可把任務平行展開，顯著縮短作業時間。這類封存的恢復成敗，往往取決於字典與規則資料庫是否貼近「真人設密碼的習慣」，而不是單純比拼硬體數量。
步驟五：委由專業平台處理
Catpasswd 貓密網支援 7Z 在內的常見加密格式，提供本機 Hash 提取方案，原始封存檔無需上傳；後台以 GPU 叢集搭配平台累積的密碼字典與密碼規律資料庫，提高恢復的命中率。收費模式上，恢復成功後可選擇排隊等待查看密碼，或付費立即顯示；若恢復失敗，則不需要支付費用，适合預算與風險都需要控管的稽核專案。
需要誠實說明的是：如果密碼是足夠長的隨機字串、沒有任何習慣特徵，任何平台都無法保證恢復；平台的優勢在於對「人類真實密碼規律」的覆蓋率，而非數學上的萬能。
五、第三方恢復的合規眉角
若評估後委託外部處理，建議至少完成以下確認：
- 以特徵碼委外，而非交出完整封存內容，並以合約約定保密與資料刪除義務；
- 確認服務商不會把檔案或特徵碼用於其他用途，作業完成後可請求刪除；
- 若涉及個人資料，盤點是否需完成委外監督、當事人告知或內部審核程序；
- 全程保留授權文件、檔案指紋與處理紀錄，確保將來可重構完整的處理軌跡。
切勿使用來路不明的免費破解程式，這類工具常見附帶密碼竊取模組，在鑑識案件中更可能因竄改檔案而直接削弱證據力。
六、恢復之後：把教訓變成制度
打開檔案只是止血，真正的改善是讓「密碼失聯」不再依賴個人記性：
- 建立密碼託管機制：加密封存密碼與檔案分開存放，可使用密封信封、稽核式密碼管理員或應急開啟（break-glass）帳號，並限定調用條件與調用紀錄。
- 統一加密規範：明訂演算法、是否加密檔案名稱、分卷大小與命名方式，避免每人一套工具與習慣。
- 把密碼列入交接項目：系統交接清單應逐項列出封存位置、加密方式與密碼託管位置，缺一不可完成交接。
- 定期執行可恢復性演練：每季或每半年抽查一批封存檔，確認密碼可用、託管資料正確，並落實使用紀錄的審查，及早發現異常存取。
當加密從「個人防護」變成「組織證據與合規資料的最後一道門」，密碼就不該只存在某個人的腦中。事前的託管制度與事後的專業恢復管道兩者俱備，面對突發的稽核與調查，才能從容兼顧時效、證據力與法律風險。
常見問題 FAQ
7Z 的「加密檔案名稱」是什麼？連檔案清單都看不到還有救嗎？
這是建立封存時的選項，會把目錄與中繼資料一併加密，未輸入正確密碼前連檔名與大小都看不到。它屬於正常的高強度防護，密碼恢復流程與一般加密相同，都是從封存標頭提取特徵碼後進行驗證，不需要先看到清單。
為什麼 7Z 跑字典比 ZIP 慢很多？
7Z 採用 AES-256 搭配 SHA-256 多輪金鑰推演，每驗證一組候選密碼都需要大量運算，因此單機速度明顯較慢。這也是 7Z 適合保存敏感日誌與證據、但密碼遺失後更依賴高品質字典、規則與 GPU 平行運算的原因。
調查或訴訟案件可以把加密 7Z 交給第三方平台處理嗎？
可以，但必須先確認調查授權或法律依據，並優先採用「只提供 Hash 特徵碼、不上傳原始封存」的方式，同時以合約要求保密與事後刪除。所有存取與處理動作都應留下紀錄，以維持證據鏈完整。
只有 .7z.001、缺少其他分卷怎麼辦？
分卷封存需要各卷齊全才能完整解壓，缺卷時即使密碼正確，也可能無法取得後續內容。應先從備份媒體、舊信箱或其他存放位置補齊分卷，再進行密碼恢復；若檔案有損毀跡象，應先修復再解密。
使用 Catpasswd 需要上傳整個封存檔嗎？失敗要付費嗎？
7Z 等格式可先在本機提取 Hash 特徵碼，只上傳特徵碼進行運算，原始封存不需離開自身環境。恢復成功後可選擇排隊等待查看，或付費立即顯示；若恢復失敗，則不需要支付費用。
密碼完全沒有線索，還有機會恢復嗎？
有機會，但取決於密碼本身的強度。若當時使用的是帶有姓名、日期、組織規律的真人密碼，密碼規律資料庫與遮罩策略能覆蓋相當多狀況；若是足夠長的隨機字串，實務上難以恢復，任何承諾「保證解開」的服務都應高度警覺。