Hashcat

01무엇이고, 어떤 일을 하나

• 허가된 표본의 추측 저항성을 비교한다.
• 알고리즘과 후보 생성 방식이 계산 비용에 주는 영향을 관찰한다.
• 비밀번호 저장 정책의 비용 설정과 자원 요구를 평가한다.

02어떤 순서로 동작하나

1. 입력 형식 확인

   가상 검증값의 알고리즘·Salt·반복 비용·인코딩을 파악한다. 다른 알고리즘의 mode로 처리하면 비교 자체가 의미 없다.

2. 실행 조건 준비

   지원 장치·드라이버·백엔드와 학습용 시간·자원 한도를 정한다. 벤치마크 수치를 모든 입력의 실제 처리율로 옮기지 않는다.

3. 후보 계산

   선택한 후보를 같은 해싱 조건으로 계산해 저장값과 비교한다. 이 과정은 서버의 온라인 실패 제한을 통과하는 로그인 요청과 다르다.

4. 결론 도출

   성공 후보 또는 제한된 탐색의 미일치를 기록하고 해싱 비용·길이·추측 가능성에 연결한다. 비밀번호 자체보다 설계 개선 근거를 보고한다.

03먼저 알아둘 용어와 구성요소

Hash mode

입력 검증값의 알고리즘·형식을 선택하는 조건.

Backend

OpenCL·CUDA 등 계산 장치와 연결하는 실행 경로.

Candidate

해시 비교에 넣는 비밀번호 후보.

Workload

장치에 할당되는 계산량으로 성능·자원 점유와 관계된다.

Salt

동일 비밀번호의 검증값을 분리하는 공개 입력.

Argon2id

메모리와 계산 비용을 사용하도록 설계한 비밀번호 해싱 방식.

Offline audit

서버 로그인 요청 없이 확보한 검증값에 후보를 계산·비교하는 감사 방식.

04예제로 따라가기

• 가상 1,000개 후보만 검사했다면 미일치는 그 집합 밖의 후보에 대한 결론을 주지 않는다.
• Argon2id 같은 메모리 비용 알고리즘의 처리율을 빠른 MD5 벤치마크와 동일하게 예상하면 안 된다.
• 오프라인 검사는 서버에 인증 요청을 보내지 않으므로 로그인 잠금 정책이 유출된 검증값의 추측을 직접 막지는 못한다.

05혼동하기 쉬운 점과 확인 기준

• GPU를 쓴다는 사실만으로 모든 형식에서 같은 속도 향상이 발생하지 않는다.
• 보고서에 실제 해시·추측된 비밀번호를 불필요하게 포함하면 새로운 유출 위험이 생긴다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.