Hashcat è un programma libero per il recupero delle password che affida gran parte del calcolo alla scheda grafica. Il suo sviluppatore principale, noto con lo pseudonimo atom, il 4 dicembre 2015 annunciò sul forum del progetto l’apertura del codice di hashcat e della sua versione per schede grafiche, oclHashcat, sotto licenza MIT. I due programmi furono poi riuniti in uno solo a partire dalla versione 3.00.
Il progetto è tuttora attivo. La versione 7.1.2, pubblicata il 23 agosto 2025 secondo il repository GitHub, è l’ultima disponibile per il download, e il registro delle modifiche descrive già la versione successiva.
A cosa serve Hashcat
Un servizio ben progettato non conserva le password in chiaro nel proprio database. Ne tiene un’impronta, chiamata hash, prodotta da una funzione matematica non reversibile. Durante un controllo di sicurezza l’amministratore dispone soltanto di quell’impronta, e Hashcat serve a verificare, in un contesto autorizzato, quanto sia solida la password che vi sta dietro. Secondo la documentazione gestisce più di quattrocentocinquanta famiglie di impronte diverse, dai formati usati dai sistemi operativi a quelli degli archivi cifrati e dei gestori di basi di dati.
La particolarità di Hashcat sta nella scheda grafica. Operazioni di questo tipo si parallelizzano molto bene, e un processore grafico moderno le elabora assai più in fretta di un processore centrale. Il programma funziona su schede NVIDIA, AMD e Intel oltre che sui processori comuni, e sa distribuire il lavoro su più dispositivi contemporaneamente. Comprende un motore di regole che viene eseguito sulla scheda stessa, un banco di prova per misurare le prestazioni, un controllo termico e una funzione di ripristino che permette di sospendere e poi riprendere una sessione.
La versione 7, uscita nel 2025, ha segnato una svolta. Aggiunge un backend Metal che apre il supporto ai Mac con chip Apple, una passerella chiamata Assimilation Bridge e un plugin Python che consente di scrivere la propria logica di confronto senza ricompilare il programma, oltre a una serie di strumenti per estrarre impronte da fonti diverse. Nella nostra raccolta di software Hashcat si colloca tra gli strumenti di controllo difensivo, accanto a programmi come Volatility per l’analisi della memoria o YARA per il riconoscimento dei file.
Il confine con gli altri strumenti di sicurezza è netto. Hashcat non prende di mira un servizio online e non indovina una password a partire dal solo nome utente. Lavora unicamente su impronte già ottenute per altra via, il che ne fa uno strumento da laboratorio e non un mezzo di accesso a distanza. La documentazione del progetto lo ribadisce in modo esplicito.
Per chi è?
Hashcat si rivolge ai professionisti della sicurezza che operano in un ambito definito: penetration tester incaricati, squadre rosse e blu, analisti di informatica forense che devono aprire un supporto cifrato su mandato, e amministratori che verificano se le password della propria organizzazione reggerebbero a un tentativo di recupero. Anche i ricercatori di crittografia lo usano per valutare la resistenza di una funzione di impronta.
I suoi limiti delimitano questo uso. Il programma si usa da riga di comando, senza interfaccia grafica, e richiede hardware adeguato insieme ai driver corrispondenti a ciascun produttore di schede, il che rende la prima installazione più impegnativa di un’applicazione comune. Soprattutto, deve essere usato solo su impronte di cui si ha legalmente diritto di disporre. La documentazione ricorda che non consente di forzare un account online, nemmeno con il consenso del titolare, e che un uso non autorizzato espone a conseguenze pesanti.
Scaricare Hashcat in sicurezza
La pagina di download di hashcat.net fornisce l’archivio binario dell’ultima versione per Windows e Linux, il codice sorgente e, per ogni file, una firma PGP che consente di verificarne l’autenticità con la chiave pubblica del progetto. Su macOS l’archivio non contiene un eseguibile, e l’editore rimanda alla compilazione dai sorgenti o a un gestore di pacchetti. Il codice si trova anche nel repository hashcat/hashcat su GitHub. Il programma è del tutto gratuito e non ha alcuna edizione a pagamento.
Uno strumento di recupero delle password è un bersaglio privilegiato per i programmi malevoli, perché gira spesso con privilegi estesi su una macchina di analisi. Un eseguibile preso su un forum o su un sito di download generico non offre alcuna garanzia. Verificare la firma PGP pubblicata dal progetto prima di avviare il programma è l’unico modo sicuro per accertarsi che non sia stato modificato.
Domande frequenti
Hashcat è gratuito?
Sì. Hashcat è un software libero distribuito sotto licenza MIT dal dicembre 2015, senza alcuna edizione a pagamento. Il codice e i binari si scaricano liberamente da hashcat.net e da GitHub.
Serve una scheda grafica per usare Hashcat?
No, lo strumento funziona anche su un processore comune, ma è concepito per sfruttare le schede grafiche, molto più veloci in questo tipo di calcolo. I driver del produttore della scheda devono essere installati prima.
Si può recuperare la password di un account online con Hashcat?
No. Hashcat lavora solo su impronte già in vostro possesso e non attacca un servizio remoto. La sua documentazione precisa che non serve a forzare un account online e che va usato in un contesto autorizzato.
