كلمة المرور والبصمة وBase64: ثلاث وظائف مختلفة
قد تبدو كلمة مرور عشوائية وبصمة ملف ونص Base64 كسلاسل غامضة متشابهة. لكنها تحل مشكلات مختلفة، واستبدال إحداها بالأخرى قد يترك معلومة حساسة مكشوفة.
كلمة المرور سر، والترميز ليس سرية
اجعل كلمة المرور طويلة وغير متوقعة، وتجنب الأسماء والتواريخ السهلة التخمين. يمكن لمدير كلمات مرور موثوق مساعدتك على توليدها وحفظها. لا تستخدم المثال المنشور في مقال كلمة مرور حقيقية.
Base64 يحوّل البيانات إلى تمثيل نصي يمكن فكّه دون مفتاح سري. معيار RFC 4648 يوضح أن هذا لا يقدم سرية؛ إرسال كلمة مرور بهذه الصيغة يظل كشفًا لها لمن يستطيع فك الترميز.
المراجع: NCSC — Three Random Words · IETF RFC 4648 — Base Encodings and Security Considerations
ماذا تثبت البصمة؟
دالة مثل SHA-256 تنتج بصمة ثابتة الطول من البيانات. مقارنة البصمة المحسوبة بمرجع موثوق تساعد في فحص تطابق المحتوى، لكنها لا تشهد أن الملف آمن أو أن صاحبه موثوق.
إذا جاء الملف وبصمته من المصدر المخترق نفسه، فقد يكون كلاهما مستبدلًا. جودة المرجع مهمة بقدر صحة الحساب.
المراجع: MDN — SubtleCrypto digest()
لا تخزن كلمات المرور كبصمة سريعة فقط
بصمة SHA-256 العامة ليست نظامًا كاملًا لتخزين كلمات المرور. توصي OWASP بوظائف مخصصة لتجزئة كلمات المرور مع الضوابط المناسبة. وهذا شأن بناء أنظمة الدخول، لا مجرد تحويل نص عبر حاسبة.
وقراءة محتوى رمز دخول مثل JWT لا تثبت صحة توقيعه أو صلاحيته. لا تلصق اعتمادًا فعليًا في شرح أو رسالة دعم لمجرد أنه «مشفّر الشكل».
المراجع: OWASP — Password Storage Cheat Sheet · IETF RFC 7519 — Validating JWTs
مثال بلا أسرار
النص Test يُرمّز في Base64 إلى VGVzdA==، ويعود إلى Test بفك الترميز. لم نحتج إلى كلمة سر في أي اتجاه، ولهذا لا يصلح لإخفاء سر.
أما إضافة سطر جديد بعد Test فتغيّر البيانات التي ستُحسب بصمتها. عند مقارنة نتيجتين، تحقق من الترميز ونهايات الأسطر قبل استنتاج وجود خلل في الأداة.