Kata sandi, hash, dan Base64 punya tugas berbeda
Kata sandi acak, hash berkas, dan teks Base64 bisa sama-sama tampak rumit. Tujuannya berbeda; mengganti satu dengan lainnya dapat membuka informasi sensitif.
Kata sandi rahasia, pengodean bukan kerahasiaan
Pilih kata sandi panjang dan sulit ditebak, bukan nama atau tanggal mudah. Pengelola kata sandi tepercaya dapat membantu membuat dan menyimpan. Jangan gunakan contoh terbitan sebagai kata sandi asli.
Base64 mengubah data menjadi teks yang bisa didekode tanpa kunci rahasia. RFC 4648 menjelaskan bahwa ini tidak memberi kerahasiaan: kata sandi tetap terbuka bagi siapa pun yang mendekodenya.
Referensi: NCSC — Three Random Words · IETF RFC 4648 — Base Encodings and Security Considerations
Apa yang dibuktikan hash?
SHA-256 menghasilkan ringkasan panjang tetap. Membandingkannya dengan referensi tepercaya membantu memeriksa kesamaan isi, bukan menjamin berkas aman atau pembuatnya dapat dipercaya.
Jika berkas dan hash berasal dari sumber yang sama-sama disusupi, keduanya bisa diganti. Referensi sama pentingnya dengan perhitungan benar.
Referensi: MDN — SubtleCrypto digest()
Hash cepat bukan sistem penyimpanan kata sandi
SHA-256 umum saja bukan rancangan penyimpanan kata sandi lengkap. OWASP menyarankan fungsi khusus dengan perlindungan sesuai; ini rekayasa sistem masuk akun, bukan sekadar konversi teks.
Mendekode JWT juga tidak memverifikasi tanda tangan atau membuktikan akses sah. Jangan tempel kredensial asli pada pesan dukungan hanya karena tampak terkode.
Referensi: OWASP — Password Storage Cheat Sheet · IETF RFC 7519 — Validating JWTs
Contoh tanpa rahasia
Test menjadi VGVzdA== dalam Base64 lalu kembali menjadi Test. Kedua arah tidak butuh rahasia, sehingga pengodean tidak menyembunyikan isi rahasia.
Menambahkan baris baru setelah Test mengubah byte yang di-hash. Periksa pengodean dan akhir baris sebelum menganggap hash berbeda sebagai kesalahan kalkulator.