الترميز مقابل التشفير

يبدو الترميز والتشفير متشابهين لأن كليهما يحوّل البيانات إلى صيغة غير قابلة للقراءة للوهلة الأولى، لكن أهدافهما مختلفة تمامًا.

• يغيّر الترميز تنسيق البيانات لكي يمكن تخزينها أو نقلها بأمان.
• يحمي التشفير سرية البيانات بحيث لا يستطيع قراءتها إلا من يملك مفتاحًا.

يُعد الخلط بينهما من أكثر أخطاء المبتدئين شيوعًا في الأمن.

يستخدم الترميز مخططًا عامًا معروفًا. ولا يتضمن أي سر. فأي شخص يعرف المخطط يستطيع فك ترميز البيانات فورًا.

تشمل الترميزات الشائعة Base64 وhex وURL encoding وASCII. وهي موجودة لتمكين البيانات الثنائية من المرور عبر قنوات نصية فقط مثل البريد الإلكتروني أو ترويسات HTTP.

يمثّل Base64 البيانات الثنائية باستخدام 64 محرفًا قابلًا للطباعة (A-Z وa-z و0-9 و+ و/). ويزيد حجم البيانات بنحو 33 بالمئة. وتُستخدم علامة = في النهاية للحشو.

يمكنك فك ترميزه على أي جهاز Linux دون الحاجة إلى مفتاح:

بصفتك مخترقًا، سترى Base64 في كل مكان: رموز JWT وملفات تعريف الارتباط وملفات الإعدادات والبيانات المُهرّبة. ومن مؤشرات أن كتلةً ما هي Base64:

• أنها تحتوي فقط على A-Za-z0-9+/ وربما حشوًا باستخدام =.
• أن طولها من مضاعفات العدد 4.
• أن فك ترميزها ينتج نصًا مقروءًا أو ترويسات ملفات يمكن التعرّف عليها.

جرّب دائمًا فك ترميز السلاسل النصية المشبوهة قبل افتراض أنها مشفّرة.

يمثّل ترميز النظام الست عشري كل بايت باستخدام محرفين (0-9 وa-f). ويُستخدم بكثرة في التقاطات الشبكة وتفريغات الذاكرة ومخرجات التجزئة.

تشكّل قيم البايت 0x68 0x69 النص ASCII ‏'hi'.

يطبّق التشفير خوارزمية تشفير بالإضافة إلى مفتاح سري. ومن دون المفتاح، يستحيل عمليًا عكس المخرجات (النص المشفّر) باستخدام الإمكانات الحسابية المتاحة.

• النص الصريح = البيانات الأصلية المقروءة.
• النص المشفّر = المخرجات المشفّرة.
• المفتاح = السر الذي يتحكم في التشفير وفك التشفير.

يؤدي تغيير المفتاح إلى تغيير النص المشفّر بالكامل.

تنقل خوارزمية Caesar كل حرف بمقدار ثابت. فعند استخدام إزاحة مقدارها 3، يتحول A إلى D. وهي مثال تعليمي فقط، إذ لا يوجد سوى 25 مفتاحًا محتملًا، ولذلك يمكن كسرها بسهولة تامة باستخدام القوة الغاشمة.

إن ROT13 خوارزمية Caesar بإزاحة مقدارها 13. وهي خوارزمية تشفير تقنيًا، لكنها لا توفر أي أمان حقيقي.

يستخدم التشفير الحقيقي خوارزميات مثل AES (متماثل) وRSA (غير متماثل). وتعتمد هذه الخوارزميات على مفاتيح كبيرة ومسائل رياضية صعبة، لا على سرية الخوارزمية.

مبدأ Kerckhoffs: يجب أن يكون نظام التشفير آمنًا حتى لو كانت كل تفاصيله، باستثناء المفتاح، معلنة. يأتي الأمان من المفتاح، وليس من إخفاء الخوارزمية أبدًا.

هناك فرق مهم يمكن ملاحظته: يبدو النص المشفّر الجيد مثل ضجيج عشوائي عالي الإنتروبيا، أما البيانات المرمّزة فلا تبدو كذلك.

• يكون ترميز Base64 للنص 'hello' دائمًا aGVsbG8= للجميع.
• يتغير تشفير AES للنص 'hello' بتغير المفتاح ومتجه التهيئة، وينتج مخرجات مختلفة في كل مرة.

إذا أدى فك ترميز سلسلة نصية إلى نص مقروء من دون أي مفتاح، فهي مرمّزة وليست مشفّرة.

تعثر باستمرار أثناء التقييم على بيانات محجوبة. ويوجّهك سؤال «هل هذا ترميز أم تشفير؟» إلى خطوتك التالية:

• هل هي مرمّزة؟ فك ترميزها الآن، فلا حاجة إلى مفتاح. فبيانات الاعتماد المخفية في Base64 تمثل مكسبًا فوريًا.
• هل هي مشفّرة؟ اعثر على المفتاح، أو هاجم إدارة المفاتيح، أو ابحث عن عيوب في التنفيذ.

إن التعامل مع الترميز كما لو كان وسيلة أمان يُعد ثغرة ستبلّغ عنها باستمرار.

احذر فئة ثالثة هي التعمية. وهي جعل البيانات صعبة القراءة عمدًا (مثل JavaScript المصغّر والملفات الثنائية المحزّمة وXOR باستخدام بايت ثابت) من دون خوارزمية تشفير حقيقية أو إدارة مفاتيح.

مثل الترميز، لا توفر التعمية سرية حقيقية. فهي لا تؤدي إلا إلى إبطاء المراقب العابر. أما المحللون المتمرسون فيعكسونها بصورة روتينية.

اختبر فهمك للتمييز الأساسي.

تعلّمت الفرق الأساسي بين الترميز والتشفير:

• يمكن لأي شخص عكس الترميز (Base64 وhex)، وهو لا يغيّر سوى التنسيق.
• يحتاج التشفير (AES وRSA) إلى مفتاح سري ويحمي السرية.
• تخفي التعمية البيانات لكنها لا تؤمّنها.
• فك ترميز السلاسل المشبوهة أولًا دائمًا؛ فالنص المشفّر يبدو كضجيج عشوائي، بينما تتحول البيانات المرمّزة إلى محتوى مقروء من دون مفتاح.

ستتعمق بعد ذلك في التجزئة، وهي عملية تحويل أحادية الاتجاه تختلف عن كليهما.