System szesnastkowy w wynikach kryptograficznych

System szesnastkowy (hex) to system liczbowy o podstawie 16, używający cyfr 0-9 oraz liter A-F (lub a-f). Każda cyfra szesnastkowa reprezentuje dokładnie 4 bity (półbajt), ponieważ 16 = 2^4.

Hex jest uniwersalnym językiem danych binarnych w informatyce. Adresy pamięci, wartości bajtów, kody kolorów i wyniki operacji kryptograficznych są powszechnie zapisywane w systemie szesnastkowym.

Ponieważ każda cyfra szesnastkowa reprezentuje dokładnie 4 bity, każdy bajt (8 bitów) odpowiada dokładnie 2 cyfrom szesnastkowym. Dzięki temu konwersja między zapisem binarnym a szesnastkowym jest prosta: należy podzielić zapis binarny na grupy po 4 bity i przekonwertować każdą grupę.

Na przykład bajt 11001010 dzieli się na 1100 (C) i 1010 (A), co daje wartość szesnastkową CA. Nie są potrzebne żadne obliczenia arytmetyczne, tylko konwersja na podstawie tabeli wartości.

Aby przekonwertować zapis binarny na szesnastkowy, należy pogrupować bity po cztery, od prawej do lewej, a następnie przekonwertować każdą grupę: 0000=0, 0001=1, ..., 1001=9, 1010=A, 1011=B, 1100=C, 1101=D, 1110=E, 1111=F.

Przykład: 11111111 staje się 1111|1111 = FF = 255 w systemie dziesiętnym. 00000000 staje się 00 = 0 w systemie dziesiętnym. 01001000 = 0100|1000 = 48 = kod ASCII znaku 'H'.

Pełny klucz 32-bajtowy (256 bitów) wymagałby w zapisie binarnym 256 jedynek i zer. W zapisie szesnastkowym zajmuje tylko 64 znaki. W systemie dziesiętnym byłby liczbą o długości do 78 cyfr.

Zapis szesnastkowy zapewnia właściwy kompromis: jest wystarczająco zwięzły, aby ludzie mogli go odczytywać i zapisywać, a jednocześnie bezpośrednio reprezentuje podstawową strukturę binarną bez narzutu konwersji.

SHA-256 generuje hash o długości 256 bitów (32 bajtów). Po wyświetleniu w zapisie szesnastkowym ma on zawsze dokładnie 64 znaki szesnastkowe. Na przykład hash SHA-256 dla "hello" to 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824.

Obliczenie: 64 znaki szesnastkowe × 4 bity = 256 bitów. Stała długość jest podstawową właściwością funkcji skrótu, niezależnie od rozmiaru danych wejściowych.

Klucze kryptograficzne są zwykle przechowywane i wyświetlane jako ciągi szesnastkowe. Klucz AES-128 ma 16 bajtów = 32 znaki szesnastkowe. Klucz AES-256 ma 32 bajty = 64 znaki szesnastkowe.

Podczas konfigurowania TLS lub szyfrowania plików często trzeba podawać klucze jako ciągi szesnastkowe. Narzędzia takie jak OpenSSL, biblioteka cryptography dla języka Python oraz większość frameworków kryptograficznych oczekują kluczy zakodowanych szesnastkowo i generują je w takiej postaci.

Wektory inicjalizujące (IV) i nonce'y również są przedstawiane w zapisie szesnastkowym. Standardowy wektor IV dla AES-CBC ma 16 bajtów = 32 znaki szesnastkowe. AES-GCM zwykle używa nonce'a o długości 12 bajtów = 24 znaki szesnastkowe.

Notacja szesnastkowa ułatwia wizualne sprawdzanie i porównywanie wektorów IV, weryfikowanie, czy w dwóch wiadomościach użyto różnych nonce'ów, oraz ręczne debugowanie protokołów kryptograficznych podczas programowania.

OpenSSL wyświetla hashe i klucze w określonym formacie: małe litery zapisu szesnastkowego, z dwukropkami między każdą parą bajtów. Na przykład hash MD5 jest wyświetlany jako "b9:4d:27:b9:93:4d:3e:08:a5:2e:52:d7:da:7d:ab:fa:c4:84:ef:e8".

Format rozdzielany dwukropkami sprawia, że każdy bajt jest wizualnie wyraźny i łatwiejszy do porównania. Inne narzędzia mogą wyświetlać zapis szesnastkowy bez dwukropków lub wielkimi literami, ale leżące u podstaw bajty są identyczne.

Certyfikaty X.509 są przechowywane w formacie DER (binarnym) lub PEM (DER zakodowanym w Base64). Zapis szesnastkowy również by się sprawdził, ale Base64 zajmuje o 33% mniej miejsca niż zapis szesnastkowy (każdy znak Base64 koduje 6 bitów, a znak szesnastkowy 4 bity).

W przypadku dużych obiektów, takich jak certyfikaty i zaszyfrowane pliki, preferowany jest Base64. W przypadku krótkich wartości, takich jak hashe, klucze, wektory IV i wartości MAC, preferowany jest zapis szesnastkowy, ponieważ bezpośrednio pokazuje granice bajtów.

Zrzut szesnastkowy przedstawia plik lub obszar pamięci jednocześnie jako bajty szesnastkowe i znaki ASCII, umieszczone obok siebie. Lewa kolumna pokazuje zapis szesnastkowy, a prawa drukowalne znaki ASCII (w przypadku bajtów niedrukowalnych wyświetlane są kropki).

Umiejętność odczytywania zrzutów szesnastkowych jest niezbędna podczas debugowania kryptograficznego. Sprawdzenie, czy IV zaczyna się pod właściwym offsetem, czy klucz ma odpowiednią długość albo czy prefiks szyfrogramu odpowiada oczekiwaniom, wymaga umiejętności odczytywania zrzutów szesnastkowych.

Nagłówki bezpieczeństwa HTTP i tokeny kryptograficzne często korzystają z kodowania szesnastkowego. Tokeny CSRF, identyfikatory sesji i klucze API są często reprezentowane jako ciągi szesnastkowe o długości 32–64 znaków.

Losowy token CSRF o długości 128 bitów (16 bajtów), zakodowany szesnastkowo, ma 32 znaki. Można łatwo zweryfikować jego poprawność: policzyć znaki, sprawdzić, czy występują wyłącznie znaki od 0 do 9 oraz od a do f, i upewnić się, że nie ma znaków dopełnienia, które wskazywałyby na Base64, a nie na zapis szesnastkowy.

Zapis szesnastkowy koduje 4 bity na znak, dzięki czemu 1 bajt = 2 cyfry szesnastkowe. SHA-256 generuje 64 znaki szesnastkowe (256 bitów), klucze AES-128 mają 32 znaki szesnastkowe, a klucze AES-256 mają 64 znaki szesnastkowe.

Zapis szesnastkowy jest standardową reprezentacją kryptograficznych hashy, kluczy, wektorów IV i nonce'ów, ponieważ bezpośrednio odzwierciedla strukturę bajtów. OpenSSL i większość narzędzi kryptograficznych generuje wartości zakodowane szesnastkowo i akceptuje je w tej postaci.