Hashcat adalah alat pemulihan kata sandi open source yang menguji seberapa tahan sebuah hash kata sandi terhadap tebakan, dengan memanfaatkan kekuatan GPU dan CPU. Dalam audit keamanan, hashcat dipakai oleh penguji yang berwenang untuk menilai kualitas kata sandi dan cara sebuah organisasi menyimpannya, sehingga kelemahan bisa diperbaiki sebelum pihak jahat memanfaatkannya. Artikel ini menjelaskan cara kerjanya secara konseptual dan, yang lebih penting, bagaimana bertahan dari pemecahan hash.
Apa Itu Hashcat?
Situs resmi hashcat.net menyebutnya sebagai alat pemulihan kata sandi tingkat lanjut yang berlisensi MIT dan berjalan di Linux, Windows, dan macOS. Ia mendukung CUDA, HIP, Metal, dan OpenCL sehingga dapat memakai kartu grafis dari berbagai produsen, selain CPU. Per akhir Oktober 2026, rilis terbaru yang tercantum di hashcat.net adalah versi 8.0.0. Menurut README di repositorinya, hashcat memiliki ratusan mode hash, sepuluh mode serangan untuk menghasilkan kandidat kata sandi, mesin aturan (rule engine), dan fitur menjeda serta melanjutkan sesi.
Perlu dipahami bahwa hashcat tidak membalik hash. Fungsi hash dirancang satu arah. Yang dilakukan hashcat adalah menebak kandidat kata sandi, menghitung hash-nya, dan membandingkannya dengan hash target. Bila cocok, tebakan itu adalah kata sandinya. Perbedaan konsep ini dibahas di artikel perbedaan hashing dan enkripsi.
Apa Fungsi Hashcat dalam Audit Keamanan Password?
Dalam konteks yang sah, hashcat punya beberapa kegunaan:
- Audit kekuatan kata sandi: tim keamanan yang berwenang menguji apakah hash kredensial di sistem organisasi mudah ditebak, lalu mendorong pengguna memakai kata sandi yang lebih kuat.
- Menilai kualitas penyimpanan: kecepatan hashcat terhadap algoritma tertentu menunjukkan apakah algoritma itu cukup lambat untuk menahan serangan.
- Pemulihan milik sendiri: membuka file atau arsip milik Anda sendiri yang kata sandinya terlupa.
- Penelitian dan pendidikan di laboratorium dengan data uji.
Semua kegunaan ini bergantung pada satu syarat: hash yang diuji adalah milik Anda atau organisasi yang memberi izin tertulis. Memecahkan hash hasil kebocoran data milik pihak lain, atau menggunakannya untuk masuk ke akun orang lain, adalah tindakan melawan hukum.
Bagaimana Hashcat Bekerja Secara Konseptual?
Hashcat mengandalkan beberapa pendekatan menghasilkan kandidat kata sandi. Cara paling dasar memakai daftar kata yang disusun dari kata sandi yang sering dipakai orang. Pendekatan lain menggabungkan dua daftar, menerapkan aturan transformasi seperti penambahan angka atau perubahan huruf, atau menelusuri seluruh kombinasi karakter dalam pola tertentu. Hashcat juga dapat mengurutkan kandidat menurut kemungkinan statistik agar tebakan yang masuk akal dicoba lebih dulu.
Kecepatan adalah kunci. GPU modern mampu menghitung hash dalam jumlah sangat besar per detik untuk algoritma yang cepat seperti MD5. Pada algoritma yang sengaja dibuat lambat dan boros memori, kecepatan itu turun drastis. Inilah inti pertahanannya: pilihan algoritma penyimpanan menentukan berapa mahal setiap tebakan bagi penyerang.
Cara Melindungi Kata Sandi dari Pemecahan Hash
Bagi pengembang dan administrator, hashcat adalah pengingat tentang apa yang terjadi bila basis data bocor. Pedoman OWASP Password Storage Cheat Sheet menyarankan urutan pilihan berikut.
- Argon2id sebagai pilihan utama, dengan konfigurasi minimum memori 19 MiB, 2 iterasi, dan paralelisme 1.
- scrypt bila Argon2id tidak tersedia.
- bcrypt hanya untuk sistem lama, dengan faktor kerja minimal 10.
- PBKDF2 bila kepatuhan FIPS-140 diwajibkan, dengan 600.000 iterasi untuk HMAC-SHA-256.
Pedoman yang sama menegaskan bahwa setiap kata sandi harus memakai salt acak yang unik, supaya tabel hash yang sudah dihitung sebelumnya tidak berguna dan dua pengguna dengan kata sandi sama tidak menghasilkan hash yang sama. Pepper, yaitu rahasia tambahan yang disimpan terpisah dari basis data, dapat menjadi lapisan tambahan. Jangan pernah menyimpan kata sandi dalam teks biasa, atau memakai hash cepat seperti MD5 dan SHA-1 tanpa penguat.
Kebijakan kata sandi yang masuk akal
Pedoman NIST SP 800-63B-4 menyatakan bahwa kata sandi yang menjadi satu-satunya faktor autentikasi minimal 15 karakter, dan penyedia layanan wajib memeriksa kata sandi baru terhadap daftar kata sandi yang umum atau pernah bocor. NIST juga melarang aturan komposisi paksa seperti mewajibkan campuran jenis karakter. Bagi pengguna, tindakan terbaiknya adalah memakai kata sandi panjang yang unik untuk setiap akun melalui password manager dan mengaktifkan autentikasi dua faktor, sehingga hash yang berhasil dipecahkan pun tidak cukup untuk masuk.
Aspek Hukum dan Etika
Pemecahan kata sandi milik orang lain tanpa izin dapat dikategorikan sebagai akses tanpa hak terhadap sistem elektronik menurut UU ITE. Gunakan hashcat hanya pada hash dari lingkungan Anda sendiri atau yang dicakup perjanjian pengujian tertulis, dan jaga kerahasiaan hasilnya karena kata sandi yang berhasil ditemukan adalah data sensitif. Gambaran serangan terhadap kata sandi secara umum, termasuk cara mendeteksinya, ada di artikel password attack: jenis serangan dan cara melindungi akun. Alat sejenis yang lebih tua dibahas di artikel John the Ripper.
Pertanyaan yang Sering Diajukan
Apakah hashcat gratis dan legal?
Hashcat gratis dan berlisensi MIT, dan legal sebagai alat. Penggunaannya legal bila dilakukan pada hash milik sendiri atau dengan izin tertulis pemiliknya.
Apakah hashcat benar-benar mendekripsi hash?
Tidak. Hash tidak bisa didekripsi. Hashcat menebak kandidat kata sandi lalu membandingkan hash-nya dengan hash target.
Mengapa GPU penting untuk hashcat?
GPU dapat menghitung ribuan operasi hash secara paralel, sehingga jauh lebih cepat daripada CPU untuk algoritma yang tidak dirancang tahan terhadap perangkat keras semacam itu.
Bagaimana cara membuat kata sandi tahan terhadap hashcat?
Pakai kata sandi panjang dan unik yang tidak ada di daftar kata sandi bocor, simpan di password manager, dan pastikan layanan yang Anda kelola menyimpan hash dengan Argon2id atau algoritma lambat lain yang diberi salt.
Kesimpulan
Hashcat memperlihatkan dengan jelas bahwa keamanan kata sandi ditentukan oleh dua hal: kualitas kata sandi yang dipilih pengguna dan algoritma yang dipakai untuk menyimpannya. Pakailah alat ini hanya dengan izin, dan jadikan hasilnya dasar perbaikan kebijakan. Untuk mempelajari audit kredensial dan keamanan sistem secara legal dan terstruktur, lihat program di halaman kursus Linuxhackingid.
Every article is reviewed by the practice lead who ran the work before it is published.