Codificação versus criptografia

Codificação e criptografia parecem semelhantes porque ambas transformam os dados em algo ilegível à primeira vista, mas seus objetivos são completamente diferentes.

• A codificação altera o formato dos dados para que possam ser armazenados ou transmitidos com segurança.
• A criptografia protege a confidencialidade dos dados, para que somente quem possui uma chave possa lê-los.

Confundir as duas é um dos erros mais comuns de iniciantes em segurança.

A codificação usa um esquema público e conhecido. Não há nenhum segredo envolvido. Qualquer pessoa que conheça o esquema pode decodificar os dados instantaneamente.

Entre as codificações comuns estão Base64, hex, URL encoding e ASCII. Elas existem para que dados binários possam atravessar canais somente de texto, como e-mails ou cabeçalhos HTTP.

Base64 representa dados binários usando 64 caracteres imprimíveis (A-Z, a-z, 0-9, + e /). Ela aumenta os dados em cerca de 33 por cento. Um = no final serve como preenchimento.

Você pode decodificá-la em qualquer máquina Linux sem nenhuma chave:

Como hacker, você verá Base64 em toda parte: tokens JWT, cookies, arquivos de configuração e dados exfiltrados. Indícios de que um bloco é Base64:

• Contém apenas A-Za-z0-9+/ e talvez preenchimento com =.
• O comprimento é múltiplo de 4.
• Decodifica para texto legível ou cabeçalhos de arquivos reconhecíveis.

Sempre tente decodificar strings suspeitas antes de presumir que estejam criptografadas.

A codificação hexadecimal representa cada byte com dois caracteres (0-9, a-f). Ela é muito usada em capturas de rede, despejos de memória e saídas de hashes.

Os valores de byte 0x68 0x69 formam o texto ASCII 'hi'.

A criptografia aplica uma cifra e uma chave secreta. Sem a chave, é computacionalmente inviável reverter a saída (o texto cifrado).

• Texto claro = os dados originais legíveis.
• Texto cifrado = a saída criptografada.
• Chave = o segredo que controla a criptografia e a descriptografia.

Se você alterar a chave, o texto cifrado mudará completamente.

A cifra de César desloca cada letra por uma quantidade fixa. Com um deslocamento de 3, A se torna D. Ela serve apenas como exemplo didático, pois há somente 25 chaves possíveis e ela pode ser quebrada trivialmente por força bruta.

ROT13 é uma cifra de César com deslocamento de 13. Tecnicamente é uma cifra, mas oferece zero segurança real.

A criptografia real usa algoritmos como AES (simétrico) e RSA (assimétrico). Eles dependem de chaves grandes e de problemas matemáticos difíceis, não do segredo do algoritmo.

Princípio de Kerckhoffs: um sistema criptográfico deve ser seguro mesmo que tudo sobre ele, exceto a chave, seja público. A segurança vem da chave, nunca de ocultar o algoritmo.

Uma diferença importante que você pode observar: um bom texto cifrado parece ruído aleatório de alta entropia. Dados codificados não parecem.

• O Base64 de 'hello' é sempre aGVsbG8= para todos.
• O AES de 'hello' muda conforme a chave e o vetor de inicialização, produzindo uma saída diferente a cada vez.

Se decodificar uma string produz texto legível sem nenhuma chave, ela foi codificada, não criptografada.

Durante uma avaliação, você encontra constantemente dados ocultos. Perguntar “isto é codificação ou criptografia?” orienta sua próxima ação:

• Codificado? Decodifique agora; nenhuma chave é necessária. Credenciais ocultas em Base64 são uma descoberta imediata.
• Criptografado? Encontre a chave, ataque o gerenciamento de chaves ou procure falhas de implementação.

Tratar a codificação como se fosse segurança é uma vulnerabilidade que você relatará com frequência.

Cuidado com uma terceira categoria: ofuscação. Trata-se de tornar os dados deliberadamente difíceis de ler (JS minimizado, binários compactados, XOR com um byte fixo), sem uma cifra real ou gerenciamento de chaves.

Assim como a codificação, a ofuscação não oferece confidencialidade genuína. Ela apenas atrasa um observador casual. Analistas experientes a revertem rotineiramente.

Teste sua compreensão da distinção fundamental.

Você aprendeu a diferença crucial entre codificação e criptografia:

• Codificação (Base64, hex) pode ser revertida por qualquer pessoa e altera apenas o formato.
• Criptografia (AES, RSA) precisa de uma chave secreta e protege a confidencialidade.
• Ofuscação oculta, mas não protege.
• Sempre decodifique primeiro as strings suspeitas; o texto cifrado parece ruído aleatório, enquanto os dados codificados são convertidos em conteúdo legível sem uma chave.

Em seguida, você estudará o hashing, uma transformação unidirecional diferente das duas anteriores.