Het Nederlands Forensisch Instituut (NFI) onderhoudt opensourcesoftware voor het kraken van de wachtwoorden van in beslag genomen smartphones. Volgens het instituut komt het zelden voor dat overheidsinstanties actief meewerken aan het verbeteren en onderhouden van opensourcesoftware. Het programma in kwestie is Hashtopolis, dat oorspronkelijk door een student werd ontwikkeld.

Hashtopolis is een wrapper voor de populaire wachtwoordkraker Hashcat. Het maakt het mogelijk om taken van Hashcat over meerdere servers te verdelen. Daarnaast ondersteunt Hashtopolis ook andere kraaktools, zoals John the Ripper, Brutus en Aircrack. De software werd vijf jaar geleden door een student ontwikkeld, maar die had na drie jaar geen tijd meer om het programma te onderhouden. "Het programma werd niet meer geüpdatet, fouten niet meer hersteld en er kwam geen nieuwe functionaliteit meer bij", aldus een onderzoeker van het NFI.

Meerdere internationale opsporingsinstanties maken echter gebruik van Hashtopolis voor het kraken van wachtwoorden. "Nu stonden we voor een keuze: we gaan zelf vanaf nul alles opnieuw schrijven en opbouwen of we bouwen verder aan en voeren verbeteringen door aan wat er al ligt. Het zelf opnieuw maken had veel tijd gekost. We hebben daarom besloten om gebruik te maken van wat er al ligt en hiermee verder te gaan", laat de onderzoeker verder weten.

Wachtwoorden kraken

Er zijn meerdere manieren om wachtwoorden te kraken. De eenvoudigste methode is gewoon het wachtwoord raden, zo merkt de onderzoeker op. "Sommige mensen hebben makkelijke wachtwoorden, zoals de naam van hun kind, gecombineerd met een geboortedatum. Dan heb je geen rekenkracht nodig, alleen informatie over de specifieke verdachte."

Andere methodes zijn bruteforce-aanvallen of het kraken van de hash. Hashtopolis stuurt de software aan waarmee hashes worden gekraakt. Het NFI heeft inmiddels tweehonderd commits gemaakt aan de broncode en achtduizend regels code voor Hashtopolis geschreven. Dat heeft tot vier updates van de software geleid.