Il cracking offline delle password è il processo di testare ipotesi di password contro materiale hash acquisito senza contattare ripetutamente il sistema bersaglio. Invece di effettuare l'accesso e attivare blocchi dell'account o limiti di frequenza, un attaccante lavora su dati copiati come hash delle password, valori challenge-response o altri artefatti di autenticazione. Questo rende l'attacco più silenzioso e spesso molto più veloce del guessing online.
Nel campo della sicurezza informatica, il cracking offline è importante perché una fuga di materiale hash può trasformare una singola esposizione in un ampio problema di recupero delle credenziali. Una volta che gli hash vengono rubati da un server, da un BMC, da un database o da un servizio di directory, i difensori perdono la possibilità di rallentare i tentativi con il solo throttling degli account. Gli attacchi reali spesso iniziano con un design dell'autenticazione debole, un'interfaccia di gestione configurata in modo errato o una violazione dei dati che espone gli hash. Le difese si concentrano sulla prevenzione del furto degli hash, sull'uso di hashing unidirezionale forte con salt e moderni fattori di lavoro, sulla limitazione dell'esposizione dei piani di gestione e sulla scelta di credenziali che resistano al guessing basato su GPU.