Passwort-Cracker hashcat wird Open Source

Inhaltsverzeichnis

Der Entwickler von hashcat, Jens "atom" Steube, ist nach eigener Aussage ein Fan von Open-Source-Software. Daher veröffentlicht er seinen Passwort-Knacker hashcat/oclHashcat jetzt unter den Bedingungen der MIT-Lizenz als Open Source.

Durch die MIT-Lizenz soll sich die Software leicht in gängige Linux-Distributionen wie Ubuntu integrieren lassen. Steube, der Hauptautor bleiben will, sich aber über jeden Beitrag aus der Community freut, plant auch ein Paket für das bei Penetrationstestern beliebte Kali Linux.

Eigene GPU-Kernel und Krypto-Biblitoheken

Wie der Entwickler gegenüber heise Security erklärte, sei ein Hauptvorteil des Open-Source-Modells, dass Anwender ihre eigenen GPU-Kernel implementieren können. IT-Forensiker oder Penetrationstester stünden oft unter Geheimhaltungsvereinbarungen, die eine Weitergabe ihrer Anforderungen an Steube verhinderten. Eine offene Schnittstelle schloss der Programmierer aus Performancegründen aus. Open-Source-Software sei daher der beste Weg, die Bedürfnisse der Nutzer zu erfüllen.

Außerdem lassen sich jetzt externe Krypto-Bibliotheken mit hashcat verwenden, deren Lizenzen keine Distribution innerhalb einer Binary erlauben würden, erläutert Steube. Zwar komme seine Software bisher ohne externe Bibliotheken aus, aber das Parsen diverser komplexerer Formate wie GPG sei sehr programmierintensiv im Vergleich zum GPU-Kernel. Auch die bislang fehlende Integration von hashcat/oclHashcat in Mac OS X ist durch die Open-Source-Variante machbar.

DES-Hashes schneller knacken

Entscheidend für den Zeitpunkt des Open-Source-Starts sei die Implementierung der GPU-Bitslice-Kernel für DES-basierte Hash-Algorithmen: Damit diese Kernel möglichst schnell sind, muss Steube zufolge der Salt des zu crackenden Hashes zum Zeitpunkt des Kompilierens in den Kernel hardkodiert werden. Der Salt wiederum ist abhängig vom zu knackenden Hash. Da dieser aber erst zur Laufzeit bekannt ist, muss der Anwender den Kernel kompilieren können, was den Quelltext voraussetzt.

Steube zufolge werde das Knacken von DES-basierten Hashes wie LM, Oracle, DEScrypt oder RACF per Bitslicing deutlich schneller. Im Falle von DEScrypt, findet unter anderem für /etc/passwd beziehungsweise htaccess-Files auf Webservern Verwendung, liege der Tempogewinn zwischen 300 und 400 Prozent.

Einen verstärkten Missbrauch durch Kriminelle befürchtet Steube durch den Wechsel zu Open Source nicht: In den bisher verteilten Binaries fänden sich beispielsweise keine Optimierungen diverser Algorithmen, die nicht bereits bekannt seien. "Das Wertvolle des Sourcecodes ist die Art und Weise, wie Implementierungen vorgenommen wurden.", erläutert Steube.

Hashcat besser als John the Ripper?

Angesprochen auf die Vorteile, die hashcat/oclHashcat im Vergleich zum ebenfalls beliebten Cracking-Tool John the Ripper habe, verweist Steube auf die jährlich stattfindenden Knack-Wettbewerbe Crack me if you can und Hashrunner. Bei beiden Wettbewerben sei das Team hashcat im Lauf der Jahre erheblich erfolgreicher als das von John the Ripper.

Weniger wichtig als die schiere Performance der Tools sei deren Fähigkeit, schnell neue Algorithmen zu implementieren oder mit bisher unbekannten Mustern von Passwörtern umzugehen. Beides könne hashcat/oclHashcat angesichts der Siege (vier von sechs gewonnene Wettbewerbe bei Crack me if you can, zwei von vier bei Hashrunner) offenbar besser als John the Ripper (lediglich ein Sieg bei Hashrunner). (des)