Kodowanie Base64: jak działa

Wiele systemów, w tym poczta e-mail, nagłówki HTTP i XML, zaprojektowano do obsługi tekstu, ale nie dowolnych danych binarnych. Wartość bajtu 0x00 (null) lub 0x1A (znak sterujący) może powodować błędy parsowania albo uszkodzenie danych.

Kodowanie Base64 przekształca dowolne dane binarne w podzbiór znaków ASCII bezpieczny dla systemów obsługujących wyłącznie tekst. Dzięki temu zawartość binarną, taką jak obrazy i certyfikaty, można osadzać w protokołach tekstowych.

Base64 działa, pobierając trzy bajty 8-bitowe (łącznie 24 bity) i dzieląc je na cztery grupy 6-bitowe. Każda grupa 6-bitowa reprezentuje wartość od 0 do 63, która jest mapowana na jeden znak alfabetu Base64.

Stosunek 3 do 4 oznacza, że każde 3 bajty danych wejściowych dają 4 znaki danych wyjściowych, czyli zwiększają rozmiar o 33%. Obliczenia są równomierne, ponieważ 3 bajty = 24 bity = 4 grupy po 6 bitów.

Alfabet Base64 ma 64 znaki: wielkie litery A-Z (indeksy 0-25), małe litery a-z (indeksy 26-51), cyfry 0-9 (indeksy 52-61), znak plus + (indeks 62) oraz ukośnik / (indeks 63).

Ten alfabet nie zawiera znaków sterujących ani większości znaków interpunkcyjnych, które mogłyby powodować problemy w systemach tekstowych. Każdy znak w wyniku kodowania Base64 jest drukowalnym znakiem ASCII bezpiecznym do użycia praktycznie w dowolnym protokole tekstowym.

Gdy długość danych wejściowych nie jest wielokrotnością 3 bajtów, potrzebne jest dopełnienie. Jeśli pozostaje jeden bajt, jest on dopełniany do 12-bitowej grupy, która daje 2 znaki Base64, po których następuje „==”. Jeśli pozostają dwa bajty, dają one 3 znaki Base64, po których następuje „=” .

Znaki dopełnienia = nie są zakodowanymi danymi; informują dekoder, że ostatni blok jest krótszy niż 3 bajty. Dzięki nim długość wyniku jest zawsze wielokrotnością 4 znaków.

Wartości ASCII dla „Man” to M=77 (01001101), a=97 (01100001), n=110 (01101110). Po połączeniu: 010011010110000101101110.

Podział na grupy 6-bitowe: 010011 | 010110 | 000101 | 101110 = 19 | 22 | 5 | 46. Po odszukaniu w alfabecie Base64: 19=T, 22=W, 5=F, 46=u. „Man” jest kodowane jako „TWFu”.

Standardowy Base64 używa znaków + i /, które mają specjalne znaczenie w adresach URL i nazwach plików. Base64url to wariant, w którym znak + zastępuje się znakiem -, a znak / znakiem _, dzięki czemu kodowanie jest bezpieczne w adresach URL, nazwach plików i wartościach cookie.

JWT (JSON Web Tokens) używają kodowania Base64url dla sekcji nagłówka i ładunku. Standardy JOSE (JSON Object Signing and Encryption) są w całości oparte na Base64url.

Base64 jest używany w załącznikach poczty e-mail MIME (do kodowania plików binarnych w wiadomościach tekstowych), tokenach JWT (do kodowania nagłówka i ładunku JSON), identyfikatorach URI danych w HTML (do bezpośredniego osadzania obrazów w CSS/HTML) oraz w formacie PEM certyfikatów X.509.

Format PEM (Privacy Enhanced Mail) umieszcza certyfikaty binarne zakodowane w DER w Base64 między nagłówkami „-----BEGIN CERTIFICATE-----” i „-----END CERTIFICATE-----”.

Base64 nie jest szyfrowaniem. To odwracalne kodowanie, które nie używa klucza. Każdy, kto zobaczy dane zakodowane w Base64, może je natychmiast zdekodować za pomocą powszechnie dostępnych narzędzi lub pojedynczego wiersza kodu w dowolnym języku programowania.

Częstym błędem jest przekonanie, że hasła lub tokeny zakodowane w Base64 są „ukryte”. Tak nie jest. Jeśli można je zdekodować, może to zrobić również atakujący. Bezpieczeństwo wymaga szyfrowania, a nie kodowania.

Dekodowanie Base64 jest równie łatwe jak kodowanie. Każda 4-znakowa grupa Base64 jest z powrotem mapowana na wartości 6-bitowe, łączona i dzielona na bajty. Dopełnienie = wskazuje, ile bajtów reprezentuje ostatnia grupa.

W Pythonie: import base64; base64.b64decode("TWFu") zwraca b"Man". Proces jest deterministyczny, bezstratny i nie wymaga klucza ani sekretu.

33-procentowy narzut rozmiaru Base64 (4 bajty wyniku na każde 3 bajty danych wejściowych) oraz znaki nowego wiersza co 76 znaków (wymagane przez MIME) sprawiają, że Base64 nie jest wydajnym rozwiązaniem dla dużych transferów danych binarnych.

Nowoczesne protokoły binarne, takie jak HTTP/2 z binarnym ramkowaniem i WebSockets z ramkami binarnymi, mogą bezpośrednio obsługiwać surowe bajty, eliminując potrzebę używania Base64 w kontekstach wymagających wysokiej wydajności.

Base32 używa alfabetu składającego się z 32 znaków (A-Z i 2-7), dlatego wynik jest dłuższy niż w Base64, ale kodowanie nie rozróżnia wielkości liter i nadaje się do użycia w kontekstach, w których wielkość liter może zostać utracona. Współdzielone sekrety TOTP są często kodowane w Base32.

Base58, używany przez Bitcoin w adresach portfeli, pomija wizualnie podobne znaki, takie jak 0, O, I i l. Ogranicza to liczbę błędów przy przepisywaniu adresów. Ceną jest to, że Base58 nie jest potęgą liczby 2, przez co kodowanie jest nieco bardziej złożone.

Proszę sprawdzić swoją wiedzę na temat kodowania Base64.

Base64 przekształca dane binarne w tekst, grupując bity w 6-bitowe fragmenty i mapując je na 64-znakowy alfabet. Powoduje 33-procentowy narzut rozmiaru i używa dopełnienia = dla długości niebędących wielokrotnością 3 bajtów.

Base64 nie zapewnia bezpieczeństwa. Służy do zapewnienia zgodności podczas transmisji, a nie do zachowania poufności. Base64url (-/_) to wariant bezpieczny dla adresów URL, używany w JWT. Do dekodowania nie jest potrzebny klucz i trwa ono kilka milisekund.