Er is een discussie ontstaan over een privacy-inbreuk in Home Assistant (versie 2026.10.1), waarbij de Supervisor automatisch controleert of wachtwoorden zijn gelekt. Een security-expert van Phobos Group stelt dat het verzenden van gegevens naar derden zonder expliciete toestemming onacceptabel is en misbruikt zou kunnen worden.
Technische werking: Om de privacy te waarborgen maakt het systeem gebruik van k-anonymity:
- Geheimen worden lokaal gehasht.
- Alleen de eerste vijf tekens van de SHA-1 hash worden naar Have I Been Pwned (HIBP) verzonden.
- De uiteindelijke match wordt lokaal uitgevoerd.
Hoewel de functie al langer bestaat, is de melding hiervan door een recente release zichtbaar geworden. Gebruikers die deze controle willen uitschakelen kunnen de opdracht ha security options --pwned=false gebruiken.
Ik heb nooit toestemming gegeven voor een integratie die mijn geheimen scant
Voorgestelde oplossing Maak van deze functionaliteit een opt-in feature. Gebruikers mogen niet automatisch worden aangemeld voor het scannen van geheimen via een systeem waarvan zij niet op de hoogte zijn.
Discussie en technische toelichting
In de discussie over dit probleem werd aanvankelijk gesteld dat er geen sprake is van een inbreuk op de privacy, aangezien andere applicaties (zoals de wachtwoordmanager 1Password) vergelijkbare methoden gebruiken. Er werd verwezen naar het concept van k-anonymity om aan te tonen dat de data privacy-bewust wordt behandeld.
De melder, een security-expert en red-teamer van Phobos Group, bleef echter ontevreden. Ondanks bekendheid met de dienst Have I Been Pwned (HIBP), benadrukte hij dat het scannen en verzenden van gegevens naar een derde partij zonder expliciete toestemming onacceptabel is. Vanuit zijn expertise als red-teamer stelt hij dat dit mechanisme misbruikt zou kunnen worden om inloggegevens van Home Assistant-installaties wereldwijd te plunderen.
Resolutie en implementatie
Na een uitgebreide discussie is verduidelijkt dat deze controle niet nieuw is, maar al jaren onderdeel is van de Supervisor. De Supervisor controleert app-opties die als wachtwoorden zijn gemarkeerd. Door een recente release is de waarschuwing die deze controle activeert nu zichtbaar geworden voor gebruikers.
Privacywaarborgen Privacy was een fundamenteel ontwerpvereiste voor deze functie. Geheimen verlaten het systeem nooit in hun oorspronkelijke vorm. Het proces werkt als volgt:
- De Supervisor hasht de geheimen lokaal.
- Alleen de eerste vijf tekens van de SHA-1 hash worden naar Have I Been Pwned verzonden.
- HIBP stuurt alle hashes terug die met dit specifieke prefix beginnen.
- De uiteindelijke matching vindt plaats op de eigen lokale instantie van de gebruiker.
De technische implementatie is in te zien in de broncode: https://github.com/home-assistant/supervisor/blob/main/supervisor/utils/pwned.py
De functie uitschakelen Het is mogelijk om deze controle uit te schakelen via de volgende opdracht:
ha security options --pwned=false
Ik heb nooit toestemming gegeven voor een integratie die mijn geheimen scant
Voorgestelde oplossing Maak van deze functionaliteit een opt-in feature. Gebruikers mogen niet automatisch worden aangemeld voor het scannen van geheimen via een systeem waarvan zij niet op de hoogte zijn.
Discussie en technische toelichting
In de discussie over dit probleem werd aanvankelijk gesteld dat er geen sprake is van een inbreuk op de privacy, aangezien andere applicaties (zoals de wachtwoordmanager 1Password) vergelijkbare methoden gebruiken. Er werd verwezen naar het concept van k-anonymity om aan te tonen dat de data privacy-bewust wordt behandeld.
De melder, een security-expert en red-teamer van Phobos Group, bleef echter ontevreden. Ondanks bekendheid met de dienst Have I Been Pwned (HIBP), benadrukte hij dat het scannen en verzenden van gegevens naar een derde partij zonder expliciete toestemming onacceptabel is. Vanuit zijn expertise als red-teamer stelt hij dat dit mechanisme misbruikt zou kunnen worden om inloggegevens van Home Assistant-installaties wereldwijd te plunderen.
Resolutie en implementatie
Na een uitgebreide discussie is verduidelijkt dat deze controle niet nieuw is, maar al jaren onderdeel is van de Supervisor. De Supervisor controleert app-opties die als wachtwoorden zijn gemarkeerd. Door een recente release is de waarschuwing die deze controle activeert nu zichtbaar geworden voor gebruikers.
Privacywaarborgen Privacy was een fundamenteel ontwerpvereiste voor deze functie. Geheimen verlaten het systeem nooit in hun oorspronkelijke vorm. Het proces werkt als volgt:
- De Supervisor hasht de geheimen lokaal.
- Alleen de eerste vijf tekens van de SHA-1 hash worden naar Have I Been Pwned verzonden.
- HIBP stuurt alle hashes terug die met dit specifieke prefix beginnen.
- De uiteindelijke matching vindt plaats op de eigen lokale instantie van de gebruiker.
De technische implementatie is in te zien in de broncode: https://github.com/home-assistant/supervisor/blob/main/supervisor/utils/pwned.py
De functie uitschakelen Het is mogelijk om deze controle uit te schakelen via de volgende opdracht:
ha security options --pwned=false
Groetjes,