Encodage ou chiffrement

L’encodage et le chiffrement semblent similaires, car ils transforment tous deux les données en quelque chose d’illisible au premier regard, mais leurs objectifs sont complètement différents.

• L’encodage modifie le format des données afin qu’elles puissent être stockées ou transmises en toute sécurité.
• Le chiffrement protège la confidentialité des données afin que seule une personne possédant une clé puisse les lire.

Confondre les deux est l’une des erreurs les plus courantes chez les débutants en sécurité.

L’encodage utilise un schéma public et bien connu. Aucun secret n’intervient. Toute personne qui connaît le schéma peut décoder les données instantanément.

Les encodages courants comprennent Base64, hex, URL encoding et ASCII. Ils permettent aux données binaires de transiter par des canaux uniquement textuels, comme les e-mails ou les en-têtes HTTP.

Base64 représente les données binaires à l’aide de 64 caractères imprimables (A-Z, a-z, 0-9, + et /). Il augmente la taille des données d’environ 33 %. Un = final sert de remplissage.

Vous pouvez le décoder sur n’importe quelle machine Linux, sans aucune clé :

En tant que pirate, vous rencontrerez du Base64 partout : jetons JWT, cookies, fichiers de configuration et données exfiltrées. Voici les indices qu’un bloc est encodé en Base64 :

• Il ne contient que A-Za-z0-9+/ et éventuellement un remplissage avec =.
• Sa longueur est un multiple de 4.
• Son décodage donne du texte lisible ou des en-têtes de fichiers reconnaissables.

Essayez toujours de décoder les chaînes suspectes avant de supposer qu’elles sont chiffrées.

L’encodage hexadécimal représente chaque octet par deux caractères (0-9, a-f). Il est très utilisé dans les captures réseau, les vidages mémoire et les sorties de hachage.

Les valeurs d’octets 0x68 0x69 écrivent le texte ASCII « hi ».

Le chiffrement applique un algorithme de chiffrement ainsi qu’une clé secrète. Sans la clé, il est pratiquement impossible, du point de vue computationnel, d’inverser la sortie (le texte chiffré).

• Texte en clair = les données lisibles d’origine ;
• Texte chiffré = la sortie chiffrée ;
• Clé = le secret qui contrôle le chiffrement et le déchiffrement.

Modifiez la clé et le texte chiffré change complètement.

Le chiffre de César décale chaque lettre d’un nombre fixe de positions. Avec un décalage de 3, A devient D. Il s’agit uniquement d’un exemple pédagogique, car il n’existe que 25 clés possibles : il est donc trivialement cassable par force brute.

ROT13 est un chiffre de César avec un décalage de 13. C’est techniquement un chiffre, mais il n’offre aucune sécurité réelle.

Le chiffrement réel utilise des algorithmes comme AES (symétrique) et RSA (asymétrique). Ceux-ci reposent sur de grandes clés et des problèmes mathématiques difficiles, plutôt que sur le secret de l’algorithme.

Principe de Kerckhoffs : un système cryptographique doit rester sûr même si tout ce qui le concerne, à l’exception de la clé, est public. La sécurité vient de la clé, jamais du fait de dissimuler l’algorithme.

Voici une différence essentielle que vous pouvez observer : un texte chiffré de qualité ressemble à un bruit aléatoire à forte entropie. Ce n’est pas le cas des données encodées.

• Le Base64 de « hello » est toujours aGVsbG8= pour tout le monde.
• Le résultat AES de « hello » change avec la clé et le vecteur d’initialisation, ce qui produit une sortie différente à chaque fois.

Si le décodage d’une chaîne donne du texte lisible sans aucune clé, elle était encodée et non chiffrée.

Lors d’une évaluation, vous trouvez constamment des données dissimulées. Se demander « s’agit-il d’un encodage ou d’un chiffrement ? » oriente votre prochaine action :

• Encodé ? Décodez-le immédiatement, aucune clé n’est nécessaire. Des identifiants dissimulés en Base64 sont une réussite immédiate.
• Chiffré ? Trouvez la clé, attaquez la gestion des clés ou recherchez des failles d’implémentation.

Traiter l’encodage comme s’il s’agissait d’une mesure de sécurité est une vulnérabilité que vous signalerez constamment.

Méfiez-vous d’une troisième catégorie : l’obfuscation. Elle consiste à rendre délibérément les données difficiles à lire (JS réduit, binaires compressés, XOR avec un octet fixe), sans véritable algorithme de chiffrement ni gestion de clés.

Comme l’encodage, l’obfuscation n’offre aucune véritable confidentialité. Elle ne fait que ralentir un observateur occasionnel. Les analystes expérimentés l’inversent régulièrement.

Testez votre compréhension de la distinction fondamentale.

Vous avez appris la différence essentielle entre l’encodage et le chiffrement :

• L’encodage (Base64, hexadécimal) est réversible par n’importe qui et ne modifie que le format.
• Le chiffrement (AES, RSA) nécessite une clé secrète et protège la confidentialité.
• L’obfuscation dissimule les données, mais ne les sécurise pas.
• Décodez toujours d’abord les chaînes suspectes ; le texte chiffré ressemble à un bruit aléatoire, tandis que les données encodées donnent du contenu lisible sans clé.

Vous allez maintenant découvrir le hachage, une transformation à sens unique, différente des deux autres.