Кодирование Base64: как это работает

Многие системы, включая электронную почту, заголовки HTTP и XML, были разработаны для работы с текстом, но не с произвольными двоичными данными. Значение байта 0x00 (нулевой байт) или 0x1A (управляющий символ) может привести к сбоям разбора или повреждению данных.

Кодировка Base64 преобразует произвольные двоичные данные в подмножество символов ASCII, безопасное для систем, работающих только с текстом, благодаря чему двоичное содержимое, например изображения и сертификаты, можно встраивать в текстовые протоколы.

Base64 работает так: три 8-битных байта (всего 24 бита) разделяются на четыре группы по 6 бит. Каждая 6-битная группа представляет значение от 0 до 63, которому соответствует один символ алфавита Base64.

Соотношение 3 к 4 означает, что каждые 3 байта входных данных дают 4 символа выходных данных, увеличивая размер на 33%. Это соотношение получается точным, поскольку 3 байта = 24 бита = 4 группы по 6 бит.

Алфавит Base64 содержит 64 символа: прописные буквы A-Z (индексы 0–25), строчные буквы a-z (индексы 26–51), цифры 0-9 (индексы 52–61), знак плюс + (индекс 62) и косую черту / (индекс 63).

Этот алфавит не содержит управляющих символов и большинства знаков пунктуации, которые могут вызывать проблемы в текстовых системах. Каждый символ результата Base64 является печатным символом ASCII, безопасным для использования практически в любом текстовом протоколе.

Если длина входных данных не кратна 3 байтам, требуется дополнение. Если остается один байт, его дополняют до группы из 12 бит, в результате чего получают 2 символа Base64, за которыми следуют "==". Если остаются два байта, они дают 3 символа Base64, за которыми следует "=".

Знаки дополнения = не являются закодированными данными; они сообщают декодеру, что последний блок короче 3 байтов. Благодаря им длина результата всегда кратна 4 символам.

Значения ASCII для "Man": M=77 (01001101), a=97 (01100001), n=110 (01101110). Объединенная последовательность: 010011010110000101101110.

Разделим ее на группы по 6 бит: 010011 | 010110 | 000101 | 101110 = 19 | 22 | 5 | 46. По алфавиту Base64 получаем: 19=T, 22=W, 5=F, 46=u. Строка "Man" кодируется как "TWFu".

В стандартной кодировке Base64 используются символы + и /, имеющие особые значения в URL и именах файлов. Base64url — это вариант, в котором + заменяется на -, а / — на _, благодаря чему кодировка безопасна для использования в URL, именах файлов и значениях cookie.

JWT (веб-токены JSON) используют кодировку Base64url для разделов заголовка и полезной нагрузки. Стандарты JOSE (подписывание и шифрование объектов JSON) полностью основаны на Base64url.

Base64 используется во вложениях электронной почты MIME (для кодирования двоичных файлов в текстовой электронной почте), в токенах JWT (для кодирования заголовка и полезной нагрузки JSON), в URI данных в HTML (для непосредственного встраивания изображений в CSS/HTML) и в формате PEM сертификатов X.509.

Формат PEM (почта с повышенной конфиденциальностью) помещает двоичные сертификаты, закодированные в DER, в Base64 между заголовками "-----BEGIN CERTIFICATE-----" и "-----END CERTIFICATE-----".

Base64 — это не шифрование. Это обратимая кодировка без ключа. Любой, кто видит данные, закодированные в Base64, может немедленно декодировать их с помощью общедоступных инструментов или однострочной команды на любом языке программирования.

Распространенная ошибка — считать, что пароли или токены, закодированные в Base64, «скрыты». Это не так. Если Вы можете их декодировать, это сможет и злоумышленник. Для обеспечения безопасности требуется шифрование, а не кодировка.

Декодировать Base64 так же просто, как и кодировать. Каждая 4-символьная группа Base64 преобразуется обратно в значения по 6 бит, объединяется, а затем разделяется на байты. Дополнение = показывает, сколько байтов представляет последняя группа.

В Python: import base64; base64.b64decode("TWFu") возвращает b"Man". Этот процесс детерминирован, выполняется без потерь и не требует ключа или секрета.

Избыточность Base64 в размере 33% (4 выходных байта на каждые 3 входных байта) вместе с переводами строк каждые 76 символов (как требуется MIME) означает, что Base64 неэффективен для передачи больших объемов двоичных данных.

Современные двоичные протоколы, такие как HTTP/2 с двоичным кадрированием и WebSockets с двоичными кадрами, могут напрямую обрабатывать необработанные байты, устраняя необходимость в Base64 в высокопроизводительных системах.

Base32 использует алфавит из 32 символов (A-Z и 2-7), поэтому результат получается длиннее, чем у Base64, но кодировка не зависит от регистра и подходит для ситуаций, где регистр может не сохраниться. Общие секреты TOTP часто кодируются в Base32.

Base58, используемая Bitcoin для адресов кошельков, исключает визуально неоднозначные символы, такие как 0, O, I и l. Это уменьшает количество ошибок при переписывании адресов. Компромисс заключается в том, что Base58 не является степенью двойки, поэтому кодирование немного сложнее.

Проверьте свои знания кодировки Base64.

Base64 преобразует двоичные данные в текст, группируя биты по 6 и сопоставляя им символы 64-символьного алфавита. Кодировка увеличивает размер на 33% и использует дополнение = для данных, длина которых не кратна 3 байтам.

Base64 не обеспечивает безопасность. Она используется для совместимости при передаче, а не для сохранения конфиденциальности. Base64url (-/_) — это безопасный для URL вариант, используемый в JWT. Для декодирования не требуется ключ, и оно занимает миллисекунды.