ハッシュキャット

ハッシュキャット
開発者	イェンス「アトム」スチューベ、ガブリエレ「マトリックス」グリスティナ
安定版リリース	6.2.6 / 2022年9月3日; 2年前
リポジトリ	ハッシュキャット
オペレーティング·システム	クロスプラットフォーム
タイプ	パスワードクラッキング
ライセンス	MITライセンス
Webサイト	ハッシュキャット

Hashcatはパスワード回復ツールです。2015 年までは独自のコードベースでしたが、その後オープンソースソフトウェアとしてリリースされました。Linux、macOS、Windows のバージョンが利用可能です。Hashcat がサポートするハッシュアルゴリズムの例としては、LM ハッシュ、MD4、MD5、SHA ファミリ、Unix Crypt形式のほか、MySQLやCisco PIXで使用されるアルゴリズムがあります。

Hashcat は、Hashcat の作成者が発見した他のソフトウェアの欠陥を部分的にベースにしているため、注目を集めています。一例として、1Passwordのパスワードマネージャーのハッシュスキームの欠陥が挙げられます。^[1]また、Usenix の出版物で同様のソフトウェアと比較され、 ^[2]Ars Technicaでも説明されています。^[3]

バリエーション

以前は、hashcat には 2 つのバリエーションが存在していました。

hashcat - CPU ベースのパスワード回復ツール
oclHashcat/cudaHashcat - GPU アクセラレーションツール (OpenCL または CUDA)

hashcat v3.00のリリースにより、GPUツールとCPUツールがhashcatという1つのツールに統合されました。CPUのみのバージョンはhashcat-legacyになりました。^{[4] CPUとGPUの両方に}OpenCLが必要になりました。

hashcat-legacy でサポートされているアルゴリズムの多く (MD5、SHA1 など) は、GPU ベースの hashcat を使用すると短時間で解読できます。^[5]ただし、すべてのアルゴリズムが GPU で高速化できるわけではありません。Bcryptはその一例です。データ依存の分岐、シリアル化、メモリ (その他) などの要因により、oclHashcat/cudaHashcat は hashcat-legacy の包括的な代替品ではありませんでした。

hashcat-legacy は、Linux、OSX、Windows で利用できます。hashcat は、FPGA やその他のアクセラレータカードを可能にする GPU、CPU、汎用 OpenCL サポートを備えた macOS、Windows、Linux で利用できます。

サンプル出力

$ハッシュキャット -d 2 -a 0 -m 400 -O -w 4        


hashcat (v5.1.0) が起動しています...

OpenCL プラットフォーム #1: Intel(R) Corporation 
========================================== 
* デバイス #1: Intel(R) Core(TM) i5-2500K CPU @ 3.30GHz、スキップ。

OpenCL プラットフォーム #2: NVIDIA Corporation 
======================================= 
* デバイス #2: M1 チップ、1010/4041 MB 割り当て可能、13MCU 
* デバイス #3: Redmi note 11、スキップ。

ハッシュ: 1 ダイジェスト、1 ユニークダイジェスト、1 ユニークソルト ビット
マップ: 16 ビット、65536 エントリ、0x0000ffff マスク、262144 バイト、5/13 回転
ルール: 1

適用可能なオプティマイザ: 
* 最適化カーネル
* ゼロバイト
* シングルハッシュ
* シングルソルト

カーネルがサポートする最小パスワード長: 0
カーネルがサポートする最大パスワード長: 55

ウォッチドッグ: 温度中止トリガーが 90 ℃ に設定されました

辞書キャッシュヒット: 
* ファイル名: example.dict 
* パスワード: 128416 
* バイト数: 1069601 
* キースペース: 128416

使用しているワードリストまたはマスクが小さすぎます。
これは、hashcat がデバイスの並列パワーをフルに活用できないことを意味します。
より多くの作業を提供しないと、クラッキング速度が低下します。
より多くの作業を提供するためのヒントについては、https://hashcat.net/faq/morework を参照してください。

最終キースペースに近づいています - ワークロードが調整されました。

$ H $9 y5boZ2wsUlgl2tI6b5PrRoADzYfXD1:hash234セッション..........: hashcatステータス...........: クラック済みハッシュ.タイプ..........: phpass、WordPress (MD5)、phpBB3 (MD5)、Joomla (MD5)ハッシュ.ターゲット......: $H$9y5boZ2wsUlgl2tI6b5PrRoADzYfXD1時間.開始.....: Thu Apr 25 05:10:35 2019 (0 秒) 時間.推定...: Thu Apr 25 05:10:35 2019 (0 秒)推測ベース.......: ファイル (example.dict)推測キュー......: 1/1 (100.00%)速度.#2.........: 2654.9 kH/s (22.24ms) @アクセル:128 ループ:1024 スレッド:1024 ベクトル:1回復済み........: 1/1 (100.00%) ダイジェスト、1/1 (100.00%) ソルト進行状況.........: 128416/128416 (100.00%)拒否.........: 0/128416 (0.00%)復元ポイント....: 0/128416 (0.00%)復元サブ.#2...: ソルト:0 アンプ:0-1 反復:1024-2048候補.#2....: 0 -> zzzzzzzzzzzハードウェア.Mon.#2..: 温度: 44c ファン: 40% 使用率: 50% コア:1265MHz メモリ:3004MHz バス:8       
                                                 

















開始: 2019年4月25日 05:10:32
停止: 2019年4月25日 05:10:37

攻撃の種類

Hashcat は、ハッシュのキースペースを効果的かつ複雑にカバーするための複数の攻撃モードを提供します。これらのモードは次のとおりです。

ブルートフォース攻撃^[6]
コンビネータ攻撃^[6]
辞書攻撃^[6]
指紋攻撃
ハイブリッド攻撃^[6]
マスク攻撃^[6]
順列攻撃
ルールベース攻撃^[6]
テーブルルックアップ攻撃（CPUのみ）
トグルケース攻撃^[6]
PRINCE攻撃^[7]（CPUバージョン0.48以降のみ）

従来のブルートフォース攻撃は時代遅れであると考えられており、Hashcat コアチームは完全な代替としてマスク攻撃を推奨しています。

競技会

チームHashcat ^[8] (Hashcatコアメンバーで構成されたHashcatソフトウェアの公式チーム) は、2010年、^[9] 2012年、[2014年、^[10] 2015年、^{[11] 2018年の}DefConと2017年のDerbyConでのKoreLogic「Crack Me If you Can」コンペティションで1位を獲得しました。

参照

参考文献

^ 「ハッシュキャットと強力なマスターパスワードによる最善の保護について」。パスワード。Agile Bits。2013 年 4 月 16 日。
^ Ur, Blase (2015 年 8 月 12 日)。「パスワード推測可能性のモデル化における現実世界の精度とバイアスの測定」(PDF)。第 24 回 USENIX セキュリティシンポジウムの議事録。
^ Goodin, Dan (2013年8月26日). 「"thereisnofatebutwhatwemake" - Turbo-charged cracking comes to long passwords」Ars Technica . 2020年7月21日閲覧。
^ "ハッシュキャット v3.00".ハッシュキャット。ハッシュキャットプロジェクト。 2016 年 6 月 29 日。
^ 「パスワードクラッキングの最近の動向」。パスワード。ブルース・シュナイアー。2012 年 9 月 19 日。
^ abcdefg "Hashcat [hashcat wiki]".
^ 「PRINCE: 最新のパスワード推測アルゴリズム」(PDF) . Hashcat サイト. Hashcat. 2014 年 12 月 8 日。
^ チームハッシュキャット
^ 「"Crack Me If You Can" - DEFCON 2010」。contest -2010.korelogic.com 。 2020年7月21日閲覧。
^ 「Crack Me If You Can 2014 コンテスト」KoreLogic Security。
^ 「ポケットにもう一つトロフィー！ CMIYCコンテスト2015で優勝」hashcat.net . 2020年7月21日閲覧。

外部リンク

公式サイト
Hashcat によるパスワードクラッキングのガイド
講演: Derbycon 2015での oclHashcat ベースの暗号クラスターオペレーターの告白
トーク: ダービーコン 2016 でのハッシュキャットの現状

[AB1-1] 「ハッシュキャットと強力なマスターパスワードによる最善の保護について」。パスワード。Agile Bits。2013 年 4 月 16 日。

[2] Ur, Blase (2015 年 8 月 12 日)。「パスワード推測可能性のモデル化における現実世界の精度とバイアスの測定」(PDF)。第 24 回 USENIX セキュリティシンポジウムの議事録。

[3] Goodin, Dan (2013年8月26日). 「"thereisnofatebutwhatwemake" - Turbo-charged cracking comes to long passwords」Ars Technica . 2020年7月21日閲覧。

[hashcat300-4] "ハッシュキャット v3.00".ハッシュキャット。ハッシュキャットプロジェクト。 2016 年 6 月 29 日。

[BS1-5] 「パスワードクラッキングの最近の動向」。パスワード。ブルース・シュナイアー。2012 年 9 月 19 日。

[hashcat_SAM-6] "Hashcat [hashcat wiki]".

[PRINCE-7] 「PRINCE: 最新のパスワード推測アルゴリズム」(PDF) . Hashcat サイト. Hashcat. 2014 年 12 月 8 日。

[8] チームハッシュキャット

[9] 「"Crack Me If You Can" - DEFCON 2010」。contest -2010.korelogic.com 。 2020年7月21日閲覧。

[10] 「Crack Me If You Can 2014 コンテスト」KoreLogic Security。

[11] 「ポケットにもう一つトロフィー！ CMIYCコンテスト2015で優勝」hashcat.net . 2020年7月21日閲覧。