Home Assistant lietotājs sašutis par paroļu pārbaudi; izstrādātāji apliecina, ka to var izslēgt
Mājas automatizācijas platformas Home Assistant lietotājs GitHub platformā iebilda pret automātisku paroļu pārbaudi, kas darbojas bez viņa piekrišanas. Projekta pārstāvis pēc asas diskusijas atvainojās un norādīja, ka funkciju var atslēgt ar komandu.
Atvērtā koda mājas automatizācijas platformas Home Assistant lietotājs 16. oktobrī GitHub platformā publicēja sūdzību par automātisku paroļu pārbaudi, kas darbojas bez lietotāja piekrišanas. Diskusija norisinājās projekta dokumentācijas repozitorijā, un tajā iesaistījās arī projekta izstrādātājs Frenks (Frenck). Viņš galu galā atzina, ka sākotnējās atbildes bijušas pārāk atraidošas, un norādīja, ka pārbaudi var izslēgt.
Lietotāja iebildumi
Sūdzības autors uzskata, ka sistēma bez atļaujas skenē paroles un sūta datus tālāk, pat ja tie ir jaukti (hešoti). Viņaprāt, mehānismu varētu ļaunprātīgi izmantot uzbrucējs, kuram ir piekļuve Home Assistant GitHub repozitorijiem. Viņš pieprasīja, lai funkcija būtu pieejama tikai ar lietotāja piekrišanu, un jautāja, kā to atslēgt. Autors iepazīstināja sevi kā drošības jomas speciālistu, kurš uzstājas ar prezentācijām par drošību.
Izstrādātāju atbildes
Sākumā Frenks sūdzību slēdza kā neatrisināmu, jo repozitorijs paredzēts dokumentācijai. Viņš apgalvoja, ka paroles netiek nosūtītas un ka līdzīgu pieeju izmanto arī citas lietotnes, piemēram, paroļu pārvaldnieks 1Password. Vairāki lietotāji šādu attieksmi nosauca par noraidošu, un diskusija tika slēgta komentēšanai tikai līdzstrādniekiem.
Vēlāk Frenks atvainojās un paskaidroja, ka pārbaude ir daļa no Supervisor komponenta jau vairākus gadus un tā aptver lietotņu opcijas, kas atzīmētas kā paroles. Nesen izlaistā versija esot izlabojusi brīdinājumu, kas par šo pārbaudi informē, tāpēc tā kļuvusi pamanāma tikai tagad.
Kā pārbaude darbojas
Saskaņā ar Frenku, Supervisor paroli lokāli pārveido par SHA-1 jaucējkodu un pakalpojumam Have I Been Pwned, kas apkopo datu noplūdēs nonākušās paroles, nosūta tikai pirmās piecas rakstzīmes. Pakalpojums atgriež visus jaucējkodus ar šādu sākumu, bet salīdzināšana notiek lietotāja ierīcē. Pārbaudi var atslēgt ar komandu ha security options --pwned=false. Dokumentāciju apsolīts papildināt ar šo skaidrojumu.
