编码与加密

编码和加密看起来相似，因为二者都会先将数据转换为乍看之下无法读取的形式，但它们的目标完全不同。

• 编码会改变数据的格式，使其能够安全存储或传输。
• 加密保护数据的机密性，只有拥有密钥的人才能读取数据。

混淆这两者，是安全初学者最常犯的错误之一。

编码使用公开且广为人知的方案，其中不包含任何秘密。任何知道该方案的人都可以立即解码数据。

常见的编码包括 Base64、hex、URL encoding 和 ASCII。它们的作用是让二进制数据能够通过电子邮件或 HTTP 标头等仅支持文本的信道。

Base64 使用 64 个可打印字符表示二进制数据（A-Z、a-z、0-9、+ 和 /）。它会使数据大小增加约 33%。末尾的 = 是填充字符。

您无需任何密钥，就可以在任意 Linux 主机上对其解码：

作为黑客，您会在各种地方看到 Base64：JWT 令牌、Cookie、配置文件和外传数据。以下线索表明一段数据可能是 Base64：

• 只包含 A-Za-z0-9+/，并且可能带有 = 填充字符。
• 长度是 4 的倍数。
• 解码后是可读文本或可识别的文件标头。

在假设某个字符串已加密之前，请务必先尝试对可疑字符串进行解码。

十六进制编码会将每个字节表示为两个字符（0-9、a-f）。它广泛用于网络捕获、内存转储和哈希输出。

字节值 0x68 0x69 拼出了 ASCII 文本“hi”。

加密会应用密码算法和秘密密钥。没有密钥时，输出结果（密文）在计算上难以逆向还原。

• 明文 = 原始的可读数据。
• 密文 = 加密后的输出。
• 密钥 = 控制加密和解密过程的秘密。

更换密钥后，密文也会完全改变。

凯撒密码会将每个字母移动固定的位数。移动 3 位时，A 会变成 D。它仅适合作为教学示例，因为只有 25 个可能的密钥，因此很容易通过暴力破解。

ROT13 是移动 13 位的凯撒密码。严格来说它是一种密码，但不提供任何真正的安全性。

真正的加密会使用 AES（对称加密）和 RSA（非对称加密）等算法。这些算法依赖大规模密钥和困难的数学问题，而不是依赖算法本身的保密性。

Kerckhoffs 原则：即使除了密钥之外的所有信息都公开，密码系统仍应保持安全。安全性来自密钥，绝不来自隐藏算法。

您可以观察到一个重要区别：良好的密文看起来像高熵随机噪声，而编码数据不会。

• 对所有人来说，'hello' 的 Base64 始终是 aGVsbG8=。
• 使用 AES 加密 'hello' 时，结果会随密钥和初始化向量而变化，因此每次都会产生不同的输出。

如果无需任何密钥就能将字符串解码为可读文本，那么它就是编码数据，而不是加密数据。

在评估过程中，您会不断发现经过隐藏处理的数据。询问“这是编码还是加密？”可以指导您的下一步行动：

• 编码？立即解码，无需密钥。隐藏在 Base64 中的凭据可以让您立即取得突破。
• 加密？寻找密钥、攻击密钥管理，或查找实现缺陷。

把编码当成安全措施，是一种您会反复报告的漏洞。

请注意第三种情况：混淆。它是指在没有真正的密码算法或密钥管理的情况下，故意让数据难以读取（例如经过压缩的 JS、加壳的二进制文件、使用固定字节进行 XOR）。

与编码一样，混淆无法提供真正的机密性，只能拖慢随意查看者的速度。熟练的分析人员可以定期将其还原。

测试您对核心区别的理解。

您已经了解了编码与加密之间的关键区别：

• 编码（Base64、hex）任何人都可以逆向解码，并且只改变数据格式。
• 加密（AES、RSA）需要秘密密钥，并保护数据的机密性。
• 混淆只负责隐藏，不提供安全保护。
• 始终先解码可疑字符串；密文看起来像随机噪声，而编码数据无需密钥即可解码为可读内容。

下一步，您将深入学习哈希，这是一种不同于编码和加密的单向转换。