Home Assistant token sırlarını düz metin olarak saklıyor; şifre değişikliği hiçbirini geçersiz kılmıyor, rapora göre

Bir araştırmacı, Home Assistant'ın kimlik doğrulama tokenları için kullanılan sırları diskte şifrelemeden sakladığını ve kullanıcıların ilk deneyeceği çözümün — hesap şifresini değiştirmenin — bunların hiçbirini geçersiz kılmadığını savunan bir full-disclosure raporu yayımladı.

Token sırları tek dosyada düz metin duruyor

"knell" takma adıyla imzalanan bir araştırmacının Kasım ayında Full Disclosure e-posta listesine gönderdiği yazıya göre, her kullanıcının refresh-token sırrı ve token başına JWT imzalama anahtarı tek bir dosyada, config/.storage/auth içinde düz metin olarak seri hale getiriliyor. Rapora göre komşu depolamadaki hesap şifreleri bcrypt ile hash'leniyor, ancak token sırları hiç hash'lenmiyor; doğrulama, saklanan değerle doğrudan dize karşılaştırması olarak tanımlanıyor. Gönderi, bulguların home-assistant/core 2026.11.0, frontend 20261028.4 ve hass-nabucasa 2.8.1 sürümlerine karşı test edildiğini belirtiyor.

Şifre değişikliğinden sonra bile yaşayan tokenlar

Rapor üç token sınıfı tanımlıyor ve bunlardan ikisinin — uzun ömürlü ve sistem refresh token'larının — son kullanma tarihi olmadan oluşturulduğunu iddia ediyor. Araştırmacının belirttiğine göre Home Assistant'ın belgelerinin script'ler için önerdiği uzun ömürlü erişim token'ları on yıl boyunca geçerli; çekirdek API, çağıran tarafın gün cinsinden verdiği bir ömür kabul ediyor ve üst sınır yok.

Gönderi ayrıca üründeki dört şifre değiştirme yolunun da — self-servis, yönetici tarafından başlatılan, Supervisor sıfırlaması ve komut satırı — şifre kaydını yeniden hash'lediğini ve hiçbir token ile ilgili çağrı yapmadığını iddia ediyor.

Araştırmacı bunun kendi kurulumunda canlı olarak doğrulandığını söylüyor: gerçek ve doğrulanmış bir şifre değişikliğinden sonra, önceden .storage/auth içinden kopyalanan bir refresh token hâlâ taze erişim üretiyor, önceden oluşturulmuş on yıllık bir uzun ömürlü token hâlâ kimlik doğrulamayı geçiyordu.

Yedekler riski büyütüyor

Dördüncü bulgu yedeklerle ilgili. Otomatik yedekleme şifresinin düz metin olarak .storage/backup dosyasına, her yedeklemelerin arşivlediği dizinin tam içine yazıldığı iddia ediliyor. Ve her ayar yedeği .storage/auth dosyasını içinde taşıdığı için, gönderiye göre bir yedeği geri yüklemek, o yedek alındığı sırada var olan tokenları yeniden hayata döndürüyor.

Rapor ne iddia ediyor, neyi iddia etmiyor

Açıklama sınırları konusunda açık. Bu, kimliği doğrulanmamış bir ağ izni değil; başlangıç noktası config dizisini ya da bir yedek dosyasını okuma yeteneği. İddia şu: böyle bir okuma — sorun giderme için teslim edilen bir yedek, yanlış yere senkronize edilen bir config klasörü ya da yığının herhangi bir yerindeki tek bir dosya ifşası hatası — şifre değişikliğini atlatan uzun ömürlü erişime dönüşüyor.

Araştırmacı ayrıca belgelenmiş on bir iddiayı kontrol ettiğini, üçünün doğru çıktığını, beşinin bir sınırla doğru çıktığını ve üçünün tutmadığını bildiriyor ve analiz desteklediğinde projeye hakkını teslim ediyor: token üretim entropisi kusursuz olarak tanımlanıyor ve erişim token'larının yalnızca otuz dakika yaşadığı bildiriliyor. E-posta listesi gönderisine GPG ile imzalanmış bir belge eşlik ediyor. Gönderinin kendisinde Home Assistant geliştiricilerinden herhangi bir yanıt kaydı yok ve iddialar tek bir araştırmacının kendi kurulumuna karşı yaptığı testlere dayanıyor.

Neden önemli

Home Assistant'ın kendi güvenlik rehberi güçlü ve benzersiz bir şifre seçmeye büyük ağırlık veriyor ve şifreyi evin anahtarı olarak sunuyor — ve raporda atıf yapılan üreticinin yayımladığı sayıya göre platform yaklaşık iki milyon evde çalışıyor; kilitleri, alarmları, garaj kapılarını, kameraları ve kimlerin evde olduğunu kayıtlarını kontrol ediyor. Bulgular tutarsa bu çerçeve kullanıcıları gerçek anahtarın nerede olduğu konusunda yanıltıyor: şifrede değil, şifre değişikliğinin asla dokunmadığı düz metin bir dosyada. Pratik sonucu şu: yedeği sızdığından veya config dizininin açığa çıktığından şüphelenen bir kullanıcı, şifre sıfırlamayı olay müdahalesi olarak göremez; token malzemesinin kendisinin ele geçirilmiş kabul edilip iptal edilmesi veya yeniden üretilmesi gerekiyor. Bir hanenin güvenlik merkezi olarak konumlanan bir platform için "şifremi değiştirdim" ile "saldırgan dışarıda kilitli" arasındaki mesafe tüm hikâyenin kendisi.