O anúncio foi feito pela primeira vez em 4 dezembro no Twitter através de um hash MD5 que dizia: “hashcat open source”, quando “quebrado”. Jens ‘atom’ Steube, principal desenvolvedor do Hashcat, disse mais tarde em um post no fórum oficial, que o código-fonte do Hashcat, ferramenta baseada na CPU, e o oclHashcat, versão baseada na GPU, foram liberadas sob a licença MIT.

Steube, que é um grande fã do software de código aberto, explicou que daria dar este passo já faz algum tempo. Uma das razões para fazer isso é a de permitir que os pentesters e cientistas forenses pudessem adicionar e modificar os algorítmos sem expor quaisquer informações potencialmente condifenciais. Agora que as ferramentas possuem o código-fonte aberto, os usuários também serão capazes de integrar facilmente bibliotecas externas.

Até agora, o oclHashcat tem suporte para os processadores gráficos OpenCL (AMD) e CUDA (Nvidia) nos sistemas operacionais Linux e Windows. O OS X não tem suporte porque a Apple não permite a compilação “offline” do código do kernel (núcleo do sistema operacional). Agora que é o projeto é de código aberto, os usuários poderão compilar o kernel da GPU e utilizar o oclHashcat no OS X.

O fato de as ferramentas de quebra de senha terem sido lançadas na forma de código aberto sob a licença MIT, também permitirá a sua integração nas distribuições Linux mais populares. Steube diz que ele tem planejado gerar pacotes para o Kali Linux, uma distro Linux muito popular entre os Pentesters.

O Kaspersky Lab, cujos peritos foram assistidos por Steube ao quebrarem os hashes relacionados ao malware Gauss e ao Equation Group, publicou um post em seu blog na segunda-feira, dia 7/12, onde explicou os benefícios das ferramentas de quebras de senhas quando possuem seu código-fonte aberto.

“O grupo de usuários que mais utilizam ferramentas de quebra de senha são pentesters. Seu trabalho é avaliar a segurança em determinadas áreas, incluindo a avaliação da segurança de senha. Peritos forenses também utilizam essas ferramentas, a fim de terem acesso a provas necessárias. Nesses casos, as tarefas são sensíveis em muitos casos e aplicam-se rígidas regras”, explicou Marco Preuss, da Kaspersky. “O software de código aberto oferece a possibilidade de desenvolver extensões personalizadas, sem o vazamento de alguma informação potencialmente sensível para os desenvolvedores de tais ferramentas. Isto aplica-se a diferentes algorítmos de hash que são obrigados a serem auditados, enquanto que o pentesting ou requisitos específicos são definidos em casos forenses, como por exemplo, a coleta de evidências criminais para uma futura ação judifical”.

Steube salientou que liberação do código-fonte do Hashcat não significa que ele está deixando o projeto. “De jeito nenhum eu faria isso! Continuarei aqui, com a mesma garra de sempre”, disse o desenvolvedor.

O código fonte do Hashcat e oclHashcat está disponível GitHub. Correções de bugs e novos recursos poderão ser apresentados, mas os contribuidores devem garantir que seu código está em conformidade com um conjunto específico de requisitos.

Com informações de SecurityWeek e O Analista.