PHP：base64でエンコードされた文字列をGETで渡すのは安全ですか？

Question

PHPについて、ご相談があって書き込ませてもらっています。

base64でエンコードされた文字列をGETパラメータで渡すということを考えています。この方法は安全でしょうか？

アドバイスお願いします！

Answer 1

渡すデータの意味によって 安全 の判定はかわるとおもいます。
パスワードのような機密情報だとしたが、安全ではありません。
なぜなら BASE64 は簡単に元の文字に戻せるからです。

画像データのバイナリーを渡す場合でも注意が必要です。
BASE64 の利用について、セキュリティについてこんな記事があります。

• HTML5, JavaScript: Base64エンコードされた画像をアップロードする上で http://elicon.blog57.fc2.com/blog-entry-369.html より

...
HTMLでimgタグを使って画像を表示したい場合、srcに画像のURLを入れる。これが近年ではcanvasタグやFile APIの導入にともなって、Base64エンコードされた文字列を画像データとしてsrcに入れるケースもブログなどで紹介されている。もしこれをユーザに任意の画像をアップロードさせるWebアプリに使うならXSSに気を払わなければならないという話。
...
なにも考えずにDataURL形式で画像を取りまわしてHTMLに埋め込んだりしようとすると、任意のスクリプトが埋め込めてしまうということ。テンプレートエンジンのオートエスケープなどで防がれることもあるだろうが、うっかり画像ファイルデータならエスケープしなくてもいいだろうとオートエスケープを外してしまうかもしれない。
...

stackoverflow に こんな QA のページがありましたので、紹介しておきます。

• Passing base64 encoded strings in URL http://stackoverflow.com/questions/1374753/passing-base64-encoded-strings-in-url

Answer 2

安全かどうかというのが第三者によるパケット盗聴に対して言っているならそんなに安全じゃありません。
base64はただのエンコードなので誰でもデコード出来るからです。
特定の記号が使えて特徴的なのですぐにbase64使ってるってわかりますし。

なので安全性を気にするのであればSSLのようなちゃんとした暗号化を用いましょう。

↑は完全にPOSTと勘違いして書いてました。
まぁbase64は特徴的で誰でもエンコード/デコードできるから改竄・解析が容易いってのはあるので、
base64エンコードしたからと言ってセッションIDみたいな見られて困るのを付けるのはやめましょう。
ただ先に言った通り改竄も容易いのでちゃんと平文同様パラメータのチェックはしましょう。

Comments

[kinme]

あ、GETパラメータの話かｗ

Answer 3

質問の意図がわからないので勝手に判断しました。
0. GET方式で暗号化文字列を渡しても良いのか。
なんの問題もないかと思います。
例として、現に2重送信防止やクローリングツール対策そのようなパラメータをよく使われております。
ただ、HTTPS通信方式をお勧めします。

1. BASE64の暗号は安全か。
   これは単に複雑に組み合わせて暗号化すれば良いと思います。