Une discussion récente sur GitHub a mis en lumière une tension entre automatisation de la sécurité et confidentialité au sein de Home Assistant. Un utilisateur a ouvert une issue pour dénoncer ce qu'il qualifie d'« invasion de la vie privée » : une intégration qui scanne les secrets (mots de passe) et transmet des données vers le service Have I Been Pwned (HIBP) source.
Un mécanisme de vérification par hashage
Contrairement à une fuite de données brute, le mécanisme utilisé par le Supervisor de Home Assistant repose sur une méthode de vérification de la sécurité des identifiants. Pour éviter que les mots de passe ne quittent le système en clair, le Supervisor effectue un hachage local des options d'applications marquées comme mots de passe. Seuls les cinq premiers caractères du hash SHA-1 sont ensuite envoyés vers HIBP source.
L'objectif technique est de vérifier si un mot de passe utilisé est déjà présent dans des bases de données de fuites connues, sans pour autant transmettre le mot de passe lui-même. Cette approche est une pratique standard dans les gestionnaires de mots de passe pour valider la sécurité des comptes sans compromettre l'accès source.
La question du consentement et du contrôle
Le point de friction ne réside pas dans la nature des données transmises, mais dans l'absence de choix explicite de l'utilisateur. L'argument de l'utilisateur est clair : il n'a jamais autorisé d'intégration capable de scanner ses secrets pour les envoyer vers un tiers, même sous forme de hash source. Pour les experts en cybersécurité, cette approche « automatique » pourrait être détournée par un attaquant ayant accès aux dépôts GitHub de l'outil source.
La réponse de la maintenance de Home Assistant souligne que cette fonctionnalité n'est pas nouvelle, mais qu'une mise à jour récente a déclenché une notification de sécurité, provoquant l'alerte source. La tension repose sur le passage d'une protection silencieuse à une notification explicite qui révèle une fonction déjà active.
Pour ceux qui refusent cette automatisation, une commande de désactivation est disponible via le CLI : ha security options --pwned=false source. Le débat illustre une difficulté majeure de l'automatisation de la sécurité domestique : quand la protection devient une intrusion si elle n'est pas explicitement pilotée par l'utilisateur.