Пользователи Home Assistant возмутились проверкой паролей; разработчики говорят, что её можно отключить

Пользователь платформы домашней автоматизации с открытым кодом Home Assistant 16 октября опубликовал на GitHub жалобу на автоматическую проверку паролей, которая работает без согласия пользователя. Обсуждение проходило в репозитории документации проекта, в нём участвовал разработчик Френк (Frenck). В итоге он признал, что его прежние ответы были слишком пренебрежительными, и сообщил, что проверку можно отключить.

Возражения пользователя

Автор жалобы считает, что система без разрешения сканирует секреты и передаёт данные дальше, пусть даже в виде хешей. По его мнению, механизмом мог бы злоупотребить злоумышленник, имеющий доступ к репозиториям Home Assistant на GitHub. Он потребовал сделать функцию добровольной и спросил, как её отключить. Автор представился специалистом по безопасности, который выступает с докладами по всему миру.

Ответы разработчиков

Сначала Френк закрыл обращение как не подлежащее исправлению, поскольку репозиторий предназначен для документации. Он заявил, что пароли не отправляются, а похожий подход используют и другие инструменты, например менеджер паролей 1Password. Несколько пользователей назвали такой ответ пренебрежительным, и обсуждение закрыли для комментариев всех, кроме соавторов.

Позже Френк извинился и пояснил, что проверка уже несколько лет входит в компонент Supervisor и охватывает параметры приложений, помеченные как пароли. Недавний выпуск исправил предупреждение, которое сообщает об этой проверке, поэтому она стала заметна только сейчас.

Как работает проверка

По словам Френка, Supervisor локально вычисляет SHA-1-хеш пароля и отправляет сервису Have I Been Pwned, который собирает пароли, попавшие в утечки данных, только первые пять символов хеша. Сервис возвращает все хеши с таким началом, а сравнение выполняется на устройстве пользователя. Проверку можно отключить командой ha security options --pwned=false. Проект пообещал обновить документацию и добавить это пояснение.