การเข้ารหัส Base64: ทำงานอย่างไร

ระบบจำนวนมาก รวมถึงอีเมล ส่วนหัว HTTP และ XML ถูกออกแบบมาให้จัดการข้อความ ไม่ใช่ข้อมูลไบนารีโดยพลการ ค่าของไบต์ 0x00 (ค่าโมฆะ) หรือ 0x1A (อักขระควบคุม) อาจทำให้การวิเคราะห์ล้มเหลวหรือข้อมูลเสียหายได้

การเข้ารหัส Base64 จะแปลงข้อมูลไบนารีโดยพลการให้เป็นชุดย่อยของอักขระ ASCII ที่ปลอดภัยสำหรับระบบที่รับเฉพาะข้อความ จึงทำให้สามารถฝังเนื้อหาไบนารี เช่น รูปภาพและใบรับรอง ไว้ในโปรโตคอลที่ใช้ข้อความได้

Base64 ทำงานโดยนำไบต์ 8 บิตสามไบต์ (รวมทั้งหมด 24 บิต) มาแบ่งเป็นกลุ่ม 6 บิตสี่กลุ่ม แต่ละกลุ่ม 6 บิตแทนค่าได้ตั้งแต่ 0 ถึง 63 ซึ่งจะจับคู่กับอักขระหนึ่งตัวในชุดอักขระ Base64

อัตราส่วน 3 ต่อ 4 นี้หมายความว่าไบต์ข้อมูลขาเข้าทุก 3 ไบต์จะให้ผลลัพธ์ขาออก 4 อักขระ ทำให้ขนาดเพิ่มขึ้น 33% การคำนวณลงตัวเพราะ 3 ไบต์ = 24 บิต = กลุ่มละ 6 บิตจำนวน 4 กลุ่ม

ชุดอักขระ Base64 มี 64 อักขระ ได้แก่ ตัวพิมพ์ใหญ่ A-Z (ดัชนี 0-25) ตัวพิมพ์เล็ก a-z (ดัชนี 26-51) ตัวเลข 0-9 (ดัชนี 52-61) เครื่องหมายบวก + (ดัชนี 62) และเครื่องหมายทับ / (ดัชนี 63)

ชุดอักขระนี้หลีกเลี่ยงอักขระควบคุมทั้งหมดและเครื่องหมายวรรคตอนส่วนใหญ่ที่อาจก่อปัญหาในระบบข้อความ อักขระทุกตัวในผลลัพธ์ Base64 เป็นอักขระ ASCII ที่พิมพ์ได้และปลอดภัยสำหรับใช้ในโปรโตคอลข้อความแทบทุกชนิด

เมื่อความยาวข้อมูลขาเข้าไม่ใช่จำนวนเท่าของ 3 ไบต์ จะต้องเติมข้อมูล หากเหลือ 1 ไบต์ จะเติมให้เป็นกลุ่ม 12 บิต ทำให้ได้อักขระ Base64 2 ตัวตามด้วย "==" หากเหลือ 2 ไบต์ จะได้อักขระ Base64 3 ตัวตามด้วย "="

เครื่องหมายเติมเต็ม = ไม่ใช่ข้อมูลที่เข้ารหัส แต่ใช้บอกตัวถอดรหัสว่าบล็อกสุดท้ายสั้นกว่า 3 ไบต์ เครื่องหมายเหล่านี้ทำให้ความยาวผลลัพธ์เป็นจำนวนเท่าของอักขระ 4 ตัวเสมอ

ค่า ASCII ของ "Man" คือ M=77 (01001101), a=97 (01100001), n=110 (01101110) เมื่อนำมาต่อกัน: 010011010110000101101110

แบ่งเป็นกลุ่มละ 6 บิต: 010011 | 010110 | 000101 | 101110 = 19 | 22 | 5 | 46 เมื่อค้นหาจากชุดอักขระ Base64: 19=T, 22=W, 5=F, 46=u ดังนั้น "Man" จึงเข้ารหัสเป็น "TWFu"

Base64 มาตรฐานใช้ + และ / ซึ่งมีความหมายพิเศษในที่อยู่ URL และชื่อไฟล์ Base64url เป็นรูปแบบหนึ่งที่แทนที่ + ด้วย - และ / ด้วย _ ทำให้ปลอดภัยสำหรับใช้ในที่อยู่ URL ชื่อไฟล์ และค่าคุกกี้

JWT (JSON Web Tokens) ใช้การเข้ารหัส Base64url สำหรับส่วนหัวและส่วนข้อมูลบรรทุก มาตรฐาน JOSE (JSON Object Signing and Encryption) สร้างขึ้นบน Base64url ทั้งหมด

Base64 ใช้ในไฟล์แนบอีเมล MIME (เข้ารหัสไฟล์ไบนารีสำหรับอีเมลที่ใช้ข้อความ) โทเค็น JWT (เข้ารหัสส่วนหัวและส่วนข้อมูลบรรทุก JSON) ยูอาร์ไอข้อมูลใน HTML (ฝังรูปภาพโดยตรงใน CSS/HTML) และรูปแบบ PEM ของใบรับรอง X.509

รูปแบบ PEM (Privacy Enhanced Mail) จะห่อใบรับรองไบนารีที่เข้ารหัสด้วย DER ไว้ใน Base64 ระหว่างส่วนหัว "-----BEGIN CERTIFICATE-----" และ "-----END CERTIFICATE-----"

Base64 ไม่ใช่การเข้ารหัสลับ แต่เป็นการเข้ารหัสที่ย้อนกลับได้โดยไม่ใช้กุญแจ ผู้ใดก็ตามที่เห็นข้อมูลที่เข้ารหัสด้วย Base64 ก็สามารถถอดรหัสได้ทันทีโดยใช้เครื่องมือที่มีให้ใช้อย่างเสรี หรือคำสั่งบรรทัดเดียวในภาษาโปรแกรมใดก็ได้

ข้อผิดพลาดที่พบบ่อยคือการคิดว่ารหัสผ่านหรือโทเค็นที่เข้ารหัสด้วย Base64 ถูก "ซ่อนอยู่" แต่ความจริงไม่ใช่เช่นนั้น หากคุณถอดรหัสได้ ผู้โจมตีก็ทำได้เช่นกัน ความปลอดภัยต้องอาศัยการเข้ารหัสลับ ไม่ใช่การเข้ารหัสข้อมูล

การถอดรหัส Base64 ง่ายพอ ๆ กับการเข้ารหัส กลุ่ม Base64 ที่มีอักขระ 4 ตัวแต่ละกลุ่มจะถูกจับคู่กลับเป็นค่าขนาด 6 บิต จากนั้นนำมาต่อกันและแบ่งเป็นไบต์ เครื่องหมายเติมเต็ม = จะระบุว่ากลุ่มสุดท้ายแทนไบต์จำนวนเท่าใด

ใน Python: import base64; base64.b64decode("TWFu") ให้ผลเป็น b"Man" กระบวนการนี้ให้ผลแน่นอน ไม่สูญเสียข้อมูล และไม่ต้องใช้กุญแจหรือความลับ

ค่าใช้จ่ายด้านขนาด 33% ของ Base64 (ไบต์ผลลัพธ์ 4 ไบต์ต่อไบต์ข้อมูลขาเข้า 3 ไบต์) รวมกับการขึ้นบรรทัดใหม่ทุก 76 อักขระ (ตามที่ MIME กำหนด) ทำให้ Base64 ไม่มีประสิทธิภาพสำหรับการถ่ายโอนไบนารีขนาดใหญ่

โปรโตคอลไบนารีสมัยใหม่ เช่น HTTP/2 ที่มีการจัดกรอบแบบไบนารี และ WebSockets ที่มีเฟรมไบนารี สามารถจัดการไบต์ดิบได้โดยตรง จึงไม่จำเป็นต้องใช้ Base64 ในบริบทที่ต้องการประสิทธิภาพสูง

Base32 ใช้ชุดอักขระ 32 ตัว (A-Z และ 2-7) ทำให้ผลลัพธ์ยาวกว่า Base64 แต่ไม่แยกแยะตัวพิมพ์เล็กใหญ่ และเหมาะสำหรับบริบทที่ตัวพิมพ์อาจสูญหายหรือเปลี่ยนแปลง โดยทั่วไปความลับที่ใช้ร่วมกันของ TOTP มักเข้ารหัสด้วย Base32

Base58 ซึ่ง Bitcoin ใช้สำหรับที่อยู่กระเป๋าเงิน จะตัดอักขระที่ดูคล้ายกันจนแยกแยะได้ยาก เช่น 0, O, I และ l ออก วิธีนี้ช่วยลดข้อผิดพลาดจากการคัดลอกที่อยู่ ข้อแลกเปลี่ยนคือ Base58 ไม่ใช่กำลังของ 2 ทำให้การเข้ารหัสซับซ้อนขึ้นเล็กน้อย

Base64 แปลงข้อมูลไบนารีเป็นข้อความโดยจัดกลุ่มบิตเป็นชุดละ 6 บิต แล้วจับคู่กับชุดอักขระ 64 ตัว ผลลัพธ์มีขนาดเพิ่มขึ้น 33% และใช้เครื่องหมายเติมเต็ม = สำหรับข้อมูลที่มีจำนวนไบต์ไม่เป็นจำนวนเท่าของ 3

Base64 ไม่ได้ให้ความปลอดภัย แต่ใช้เพื่อให้ส่งข้อมูลร่วมกับระบบต่าง ๆ ได้ ไม่ใช่เพื่อรักษาความลับ Base64url (-/_) เป็นรูปแบบที่ปลอดภัยสำหรับ URL และใช้ใน JWT การถอดรหัสไม่ต้องใช้กุญแจและใช้เวลาเพียงไม่กี่มิลลิวินาที