Hashcat: a ferramenta que mostra porque as palavras-passe fracas são um problema

As palavras-passe continuam a ser a primeira linha de defesa de milhões de utilizadores e organizações. No entanto, quando são fracas ou previsíveis, podem ser descobertas em poucos segundos.

Uma das ferramentas mais conhecidas para demonstrar esta realidade é o Hashcat, uma solução de recuperação de palavras-passe amplamente utilizada por investigadores de segurança, equipas de pentesting e analistas forenses.

O que é o Hashcat?

O Hashcat é um software open source especializado na recuperação de palavras-passe a partir de hashes. Em vez de tentar "desencriptar" um hash, algo matematicamente impossível nas funções de hash modernas, a ferramenta gera milhares ou milhões de palavras-passe candidatas, calcula o respetivo hash e compara o resultado com o hash original. Quando existe correspondência, a palavra-passe foi encontrada.

Graças ao suporte para GPUs NVIDIA, AMD e Intel, bem como CPUs, o Hashcat consegue atingir velocidades impressionantes, tornando-se uma das ferramentas mais rápidas do mercado para este tipo de tarefa.

Como funciona?

O Hashcat suporta centenas de algoritmos de hash, incluindo:

• MD5
• SHA-1
• SHA-256
• SHA-512
• NTLM (Windows)
• bcrypt scrypt
• PBKDF2
• WPA/WPA2
• Entre muitos outros.

Para encontrar uma palavra-passe, a ferramenta pode recorrer a diferentes métodos:

• Ataques por dicionário;
• Ataques de força bruta;
• Ataques por máscara;
• Regras de transformação de palavras;
• Ataques híbridos que combinam diferentes estratégias.

Apesar de ser frequentemente associada a ataques informáticos, o Hashcat é uma ferramenta legítima utilizada diariamente por profissionais de cibersegurança. Naturalmente, como acontece com qualquer ferramenta poderosa, também pode ser utilizada por cibercriminosos quando estes obtêm bases de dados com hashes roubadas.

A existência de ferramentas como o Hashcat não significa que as palavras-passe estejam "partidas". Significa, sim, que palavras-passe fracas ou reutilizadas representam um risco maior.

As melhores práticas continuam a ser:

• Utilizar palavras-passe longas e únicas;
• Preferir gestores de palavras-passe;
• Ativar autenticação multifator (MFA);
• Evitar palavras do dicionário ou padrões previsíveis;
• Utilizar algoritmos modernos de armazenamento de palavras-passe, como bcrypt, Argon2 ou PBKDF2, por parte dos serviços.