Home Assistant, varsayılan ihlal edilmiş parola kontrolü nedeniyle tepkilerin ardından özür diledi

Home Assistant'ın bir maintainer'ı, akıllı ev platformunun Supervisor bileşeninin saklanan parolaları rutin olarak Have I Been Pwned ihlal veritabanıyla karşılaştırdığını keşfeden kullanıcıya verilen kayıtsız yanıtlar için herkesin önünde özür diledi. Tartışma, projenin dokümantasyon deposundaki bir GitHub issue'sunda başladı, 16 Ekim 2026'da Hacker News'in ana sayfasına taşındı ve özelliğin tasarımının açıklanması, dokümantasyonun iyileştirileceği sözü ve tek satırlık bir komutla kapatılabildiğinin doğrulanmasıyla sona erdi.

Şikayet

Issue'yu, Phobos Group'u yönettiğini ve güvenlik konularında uluslararası düzeyde konuşmalar yaptığını, 2011'de Twitter'ın tek red-team çalışanı olduğunu söyleyen Viss adlı bir kullanıcı açtı. Home Assistant 2026.10.1 için bildirim yaparak, kurulumundaki gizli bilgileri tarayan ve bunlarla ilgili bilgiyi üçüncü bir tarafa ileten herhangi bir mekanizmaya asla onay vermediğini yazdı ve bunun nasıl kapatılabileceğini sordu.

Viss, ihlal bildirimi alanını iyi tanıdığını — HIBP'nin kurucusu Troy Hunt ile tanıştığını ve Twitter'da 1Password dağıtımına yardım ettiğini — söyledi ama tekniğe aşinalığın onay anlamına gelmediğini savundu. Red teamer olarak, Home Assistant'ın depolarına erişimi olan bir saldırganın bu hattı kullanarak dünya genelindeki kurulumlardan kimlik bilgileri toplayabileceği birçok yolu sayabileceğini ileri sürdü. Önerdiği çözüm basitti: kontrolü opt-in yapmak.

Tartışma nasıl büyüdü

Maintainer frenck başlangıçta gizlilik çerçevesini reddetti. Davranışı 1Password'ın ihlal edilmiş parola uyarılarına benzetti, k-anonymity'nin (bir istemcinin parolanın kendisini ifşa etmeden ihlal veritabanını sorgulamasını sağlayan teknik) Cloudflare açıklamasına bağlantı verdi ve işaretlenen bir parolanın zaten bilinen ihlal verilerinde yer alan bir parola olduğunu belirtti. Söz konusu depo kodu değil dokümantasyon barındırdığı için issue'yu "won't fix" olarak kapattı.

Kapanış iyi karşılanmadı. Uzun süreli başka bir kullanıcı, issue'nun yeniden açılmasını ve kontrolü devre dışı bırakmanın belgelenmiş bir yolunun istenmesini talep ederek, aksi halde topluluğun projeyi kaldırıp fork'layacağını ima etti; frenck bu tür tehditlerin tartışmayı hiçbir yere götürmeyeceğini yanıtladı. Viss, izni olmadan sisteminden hiçbir şey çıkmadığına dair güvence alana kadar meselenin kapanmadığında ısrar etti. Kendini white-hat hacker olarak tanımlayan bir kullanıcı, ortada gizlilik çıkarı olmadığı iddiasını açıkça reddetti ve konuşma ardından kilitlenip yalnızca collaborators ile sınırlandırıldı.

Özellik gerçekte ne yapıyor

frenck, önceki yanıtlarının şikayeti fazla hafife aldığını kabul eden ve özür dileyen bir devam yorumuyla geri döndü. Verdiği açıklamaya göre:

• Kontrol yeni değil. Home Assistant Supervisor içinde yıllardır geliyor ve yalnızca açıkça parola olarak işaretlenmiş add-on yapılandırma seçeneklerini inceliyor.

• Kullanıcılar bunu şimdi fark etti, çünkü yakın zamanda yapılan bir sürüm, sonuçları gösteren bir uyarıyı düzeltti ve uzun süredir var olan davranışı bir anda görünür kıldı.

• Hiçbir gizli bilgi makineden çıkmıyor, dedi. Supervisor bir SHA-1 hash'ini yerel olarak hesaplıyor, bu hash'in yalnızca ilk beş karakterini Have I Been Pwned'e gönderiyor, bu ön eki paylaşan tüm ihlal edilmiş hash'leri alıyor ve eşleştirmeyi kullanıcının kendi kurulumunda yapıyor. Uygulama, Supervisor deposunda supervisor/utils/pwned.py içinde görülebilir.

• ha security options --pwned=false komutuyla devre dışı bırakılabiliyor.

Dokümantasyonun hem özelliği hem de opt-out yolunu anlatması gerektiğini kabul etti ve o sayfanın güncelleneceğini söyledi. Depo dokümantasyon için olduğu için issue kapalı kaldı.

Neden önemli

Teknik olarak frenck'in anlattığı tasarım, ana akım parola yöneticilerinin kullandığı gizlilik koruyan desenle aynı ve konuşmada tam hash'lerin — üstelik düz metin gizli bilgilerin — yerelde kaldığı ifadesini çürüten hiçbir şey yok. Ama bu olay, savunulabilir bir mühendislik seçiminin varsayılanlar ve açıklama yoluyla nasıl bir güven sorununa dönüştüğünün bir vaka çalışması. Kimlik bilgilerine dokunan bir kontrol yıllarca sessizce çalıştı, yalnızca bir uyarı düzeltildiği için ortaya çıktı ve bir tartışma onu ünlü edene kadar opt-out yolu fiilen belgelenmemişti. Home Assistant'ı çoğunlukla özel altyapı olarak gördükleri donanımda çalıştıran kullanıcıların, ağa dokunan güvenlik özelliklerinin duyurulmasını ve kolayca kapatılabilir olmasını beklemesi mantıklı. Konuşma, maintainer'ın tonunun ne kadar önemli olduğunu da gösteriyor: "won't fix" kapanışı ile özür arasında teknik gerçekler neredeyse hiç değişmedi, ama topluluğun bunları okuma biçimi tamamen tersine döndü.