Кодирование и шифрование

Кодирование и шифрование похожи, поскольку оба процесса преобразуют данные в нечто, на первый взгляд нечитаемое, но их цели совершенно различны.

• Кодирование изменяет формат данных, чтобы их можно было безопасно хранить или передавать.
• Шифрование защищает конфиденциальность данных, чтобы их мог прочитать только обладатель ключа.

Путаница между этими понятиями — одна из самых распространенных ошибок начинающих специалистов по безопасности.

При кодировании используется общедоступная, хорошо известная схема. Секрет отсутствует. Любой, кто знает схему, может мгновенно декодировать данные.

К распространенным способам кодирования относятся Base64, hex, URL encoding и ASCII. Они нужны, чтобы двоичные данные можно было передавать по каналам, поддерживающим только текст, например по электронной почте или в заголовках HTTP.

Base64 представляет двоичные данные с помощью 64 печатных символов (A-Z, a-z, 0-9, + и /). Объем данных увеличивается примерно на 33 процента. Конечный символ = служит дополнением.

Декодировать данные можно на любом компьютере под управлением Linux, причем ключ вообще не нужен:

Как хакер, Вы будете повсюду встречать Base64: в токенах JWT, файлах cookie, конфигурационных файлах и похищенных данных. Вот признаки того, что строка представляет собой Base64:

• Содержит только A-Za-z0-9+/ и, возможно, символы дополнения =.
• Длина кратна 4.
• После декодирования получается читаемый текст или узнаваемые заголовки файлов.

Всегда сначала пробуйте декодировать подозрительные строки, прежде чем предполагать, что они зашифрованы.

Шестнадцатеричное кодирование представляет каждый байт двумя символами (0-9, a-f). Его широко используют в сетевых захватах, дампах памяти и результатах вычисления хешей.

Значения байтов 0x68 0x69 образуют текст ASCII «hi».

При шифровании применяются шифр и секретный ключ. Без ключа вычислительно невозможно обратить преобразование результата (шифротекста).

• Открытый текст = исходные читаемые данные.
• Шифротекст = зашифрованный результат.
• Ключ = секрет, управляющий шифрованием и расшифрованием.

При изменении ключа шифротекст полностью меняется.

Шифр Цезаря сдвигает каждую букву на фиксированное число позиций. При сдвиге на 3 буква A превращается в D. Это лишь учебный пример: существует всего 25 возможных ключей, поэтому шифр легко взламывается перебором.

ROT13 — это шифр Цезаря со сдвигом на 13. Формально это шифр, но реальной безопасности он не обеспечивает.

В настоящем шифровании используются такие алгоритмы, как AES (симметричный) и RSA (асимметричный). Они опираются на большие ключи и сложные математические задачи, а не на секретность алгоритма.

Принцип Керкгоффса: криптосистема должна оставаться безопасной, даже если все сведения о ней, кроме ключа, общедоступны. Безопасность обеспечивается ключом, а не сокрытием алгоритма.

Можно заметить важное различие: качественный шифротекст выглядит как случайный шум с высокой энтропией. Кодированные данные так не выглядят.

• Base64 для строки «hello» всегда дает aGVsbG8= у любого пользователя.
• Результат AES для «hello» меняется в зависимости от ключа и вектора инициализации, поэтому при каждом запуске получается другой результат.

Если декодирование строки дает читаемый текст без какого-либо ключа, данные были закодированы, а не зашифрованы.

Во время проверки Вы постоянно сталкиваетесь со скрытыми данными. Вопрос «это кодирование или шифрование?» помогает выбрать следующий шаг:

• Закодировано? Немедленно декодируйте — ключ не нужен. Учетные данные, скрытые в Base64, позволяют сразу добиться результата.
• Зашифровано? Найдите ключ, атакуйте управление ключами или ищите ошибки реализации.

Рассматривать кодирование как средство защиты — уязвимость, о которой Вам постоянно придется сообщать.

Помните о третьей категории: обфускации. Это намеренное усложнение чтения данных (минифицированный JS, упакованные двоичные файлы, XOR с фиксированным байтом) без настоящего шифра или управления ключами.

Как и кодирование, обфускация не обеспечивает настоящей конфиденциальности. Она лишь замедляет поверхностный анализ. Опытные специалисты регулярно выполняют обратное преобразование.

Проверьте, насколько хорошо Вы поняли ключевое различие.

Вы изучили важнейшее различие между кодированием и шифрованием:

• Кодирование (Base64, hex) обратимо для любого человека и изменяет только формат.
• Шифрование (AES, RSA) требует секретного ключа и защищает конфиденциальность.
• Обфускация скрывает данные, но не защищает их.
• Всегда сначала декодируйте подозрительные строки: шифротекст похож на случайный шум, а кодированные данные без ключа преобразуются в читаемый текст.

Далее Вы подробно изучите хеширование — одностороннее преобразование, отличное и от кодирования, и от шифрования.