Kodlayıcı / Çözücü rehberi

Base64 ne yapar

Base64 (RFC 4648) baytları üçerli gruplar halinde alır, 24 biti dört adet 6 bitlik gruba böler ve her grubu 64 karakterden birine eşler: A–Z, a–z, 0–9, + ve /. Girdinin uzunluğu üçün katı değilse son grubu = dolgusu tamamlar. Çıktı girdiden yaklaşık %33 daha büyüktür, ama yalnızca metin için tasarlanmış sistemlerden sağ çıkan karakterler içerir. Bu boyut artışı, güvenli taşımanın bedelidir: çıktıda denetim karakteri ya da sekizinci biti kırpan eski sistemleri şaşırtacak bir bayt kalmaz.

Yaygın kullanım alanları arasında e-posta ekleri (MIME), HTML ya da CSS içine küçük görseller gömen data URI'ler, JSON'daki ikili alanlar, HTTP Basic kimlik doğrulama başlıkları ve JSON Web Token'ların bölümleri vardır. Bu kanalların ortak yanı, ham baytları güvenle iletememeleridir; araya giren bir sunucu metni yeniden kodlayabilir, satır sonlarını değiştirebilir ya da ASCII dışı baytları bozabilir. Base64 bu riski ortadan kaldırır, çünkü çıktısı her sistemde aynı anlama gelen dar bir karakter kümesinden oluşur. Hepsinde amaç taşımadır, gizlilik değil.

Kodlayıcıda Base64 nasıl kullanılır

1. Kodlayıcı / Çözücü aracını açın.
2. Metni Base64'e çevirmek için Kodla, Base64'ü metne çevirmek için Çöz seçeneğini seçin.
3. Base64url için “URL güvenli alfabe” kutusunu işaretleyin; bu alfabe - ve _ kullanır ve dolguyu atlar.
4. Girdinizi yapıştırın; sonuç tarayıcınızda güncellenir ve kopyalanabilir.

Metin UTF-8 olarak kodlanır; bu yüzden ş, ü gibi karakterler ya da emojiler doğru şekilde işlenir. Çözme işlemi geçerli UTF-8 metni olmayan baytlar ürettiğinde, örneğin bir görsel ya da sıkıştırılmış veri söz konusuysa, araç okunamayan karakterler göstermek yerine içeriği ikili olarak bildirir. Seçtiğiniz mod adres çubuğunda ?mode=base64 olarak tutulur, bu yüzden doğrudan bu moda açılan bir bağlantıyı paylaşabilirsiniz; girdiniz ise hiçbir zaman URL'ye yazılmaz.

URL kodlaması, HTML varlıkları ve sayı tabanları

Kodlayıcı / Çözücü aracında Base64'ün yanında üç mod daha vardır. URL modu metni yüzde kodlamasından geçirir: tek bir sorgu değeri ya da yol parçası (encodeURIComponent, ki bu &, = ve / karakterlerini de kaçırır) veya bütün bir URL (encodeURI, ki bu adresi kuran karakterleri olduğu gibi bırakır) seçebilirsiniz. Doğru seçeneği belirlemek önemlidir: tam bir adresi encodeURIComponent ile kaçırırsanız : ve / karakterleri de kodlanır ve bağlantı kullanılamaz hale gelir. Çözme sırasında + işareti boşluk olarak ele alınabilir, çünkü HTML formları boşluğu böyle gönderir.

HTML varlıkları modu, HTML yapısını değiştiren beş karakteri (<, >, &, " ve ') kaçırır, istenirse ASCII dışı her karakteri de kaçırır ve adlandırılmış ile sayısal referansları çözer. Sayı tabanı modu ise her boyuttaki tam sayıyı ikilik, sekizlik, onluk, onaltılık ve 36 tabanı arasında yuvarlama yapmadan dönüştürür ve 0x, 0o ile 0b öneklerini kabul eder. Bu mod BigInt kullandığı için 64 bite sığmayan değerler bile tam olarak dönüşür; bu da bayrak maskeleri, izin bitleri ve büyük kimlik numaralarıyla çalışırken işe yarar.

Standart Base64 ve Base64url

+ ve / karakterlerinin URL'lerde, = işaretinin ise sorgu dizelerinde özel anlamları vardır; bu yüzden bir URL içindeki standart Base64'ün ayrıca yüzde kodlamasından geçmesi gerekir. Base64url bu zahmeti ortadan kaldırır. Bir çeşit için yazılmış çözücüler genellikle diğerini reddeder; bir JWT bölümü standart bir çözücüye yapıştırıldığında sık sık “geçersiz Base64” hatası alınmasının nedeni budur. Aynı karışıklık ters yönde de görülür: URL güvenli bir değeri standart alfabeye çeviren bir kütüphane, dolgu eklemeyi unutursa uzunluk hatası verir.

Standard: +/+/Pz8=
URL-safe: -_-_Pz8

Base64 şifreleme değildir

Base64 hiçbir şeyi gizlemez. YWRtaW46c2VjcmV0 değerini gören herkes bunu bir saniyede admin:secret olarak çözebilir; bir HTTP Basic kimlik doğrulama başlığının içeriği tam olarak budur. Parolaları Base64 ile “kodlanmış” biçimde tutan yapılandırma dosyaları ve günlükler, pratikte onları düz metin olarak saklıyor demektir. Bir sırrı gerçekten korumak için bir anahtar gerekir; kodlamada anahtar yoktur, yalnızca herkesin bildiği bir alfabe vardır.

Authorization: Basic YWRtaW46c2VjcmV0
# decodes to admin:secret; only TLS protects it in transit

Base64 ile nerede karşılaşırsınız

eyJ öneki kullanışlı bir ipucudur: bu önek {" ifadesinin Base64 karşılığıdır, dolayısıyla bununla başlayan dizeler genellikle kodlanmış JSON, çoğu zaman da bir JWT olur. Benzer şekilde PEM dosyaları -----BEGIN ve -----END satırları arasındaki Base64'ten oluşur, data URI'ler ise yükten önce her zaman ;base64, içerir. Bu küçük işaretler, elinizdeki dizenin hangi çeşide ait olduğunu daha çözmeden tahmin etmenizi sağlar ve gereksiz deneme yanılmayı önler.

Kubernetes secret'ları, Base64'ün koruma sanılmasının en bilinen örneğidir. Bir Secret manifestindeki değerler yalnızca kodlanmıştır; manifesti okuyabilen herkes sırrı da okuyabilir. Onları asıl koruyan şey, diskte şifreleme ve küme üzerindeki erişim denetimidir. Aynı yanılgı, ortam değişkenlerini ya da yapılandırma yedeklerini Base64'e çevirip güvenli saymakta da tekrarlanır.

Komut satırında ve kodda Base64

# Linux / macOS
printf '%s' 'Hello' | base64          # SGVsbG8=
printf '%s' 'SGVsbG8=' | base64 --decode

# JavaScript (UTF-8 safe)
btoa(String.fromCharCode(...new TextEncoder().encode('Grüße')))

# Python
python3 -c "import base64; print(base64.urlsafe_b64encode(b'Hello').decode())"

Çoğu dil Base64'ü standart kütüphanesinde sunar; bu yüzden onu kendiniz yazmanız için nadiren bir neden vardır. Bir fonksiyonun hangi çeşidi ürettiğine dikkat edin: birçok kütüphanede standart ve URL güvenli Base64 için ayrı fonksiyonlar bulunur, bazıları da dolguyu farklı ekler ya da kaldırır. İki sistem bir değer üzerinde anlaşamıyorsa önce çeşidi ve dolguyu karşılaştırın. Bunun en hızlı yolu, aynı girdiyi her iki tarafta kodlayıp çıktıları karakter karakter yan yana koymaktır.

Tarayıcıdaki btoa yalnızca Latin-1 dizelerle çalışır ve başka karakterlerde hata fırlatır; örnekte metnin önce UTF-8 baytlarına çevrilmesinin nedeni budur. Satır sonları da ayrı bir tuzaktır: bazı araçlar MIME'ın gerektirdiği gibi Base64 çıktısını 76 karakterde satırlara böler, bazı çözücüler ise bu satır sonlarını kabul etmez. Kendi kodunuzda dizeyi çözmeden önce boşlukları ve satır sonlarını temizlemek, bu iki dünyayı uzlaştırmanın en basit yoludur.

Çözme hatalarını gidermek

JWT'ler için bunun yerine JWT Çözücü aracını kullanın; bu araç token'ı bölümlerine ayırır ve her bölümü Base64url olarak çözer. URL'lerdeki değerler için URL Kodlayıcı aracı, https://www.example.com/?token= adresindeki bir sorgu dizesinden + işareti geçtiğinde ortaya çıkan %2B gibi yüzde kodlamalarını halleder. İkisini birlikte kullanmak, bir token'ın taşıma sırasında mı yoksa içeriğinde mi bozulduğunu ayırt etmenizi sağlar.

SSS

Kaynaklar

• RFC 4648: Base16, Base32 ve Base64 veri kodlamaları
• RFC 2045: MIME Birinci Bölüm (Base64 içerik aktarım kodlaması)
• RFC 7617: HTTP Basic kimlik doğrulama şeması
• MDN: Base64