I never authorized an integration that scans my secrets
Пользователь GitHub под ником Viss сообщил об интеграции в Home Assistant, которая сканирует секреты и отправляет данные наружу, назвав это серьёзным вторжением в приватность. Он заявил, что не давал согласия на подобные проверки, и предложил сделать функцию добровольной, а не включённой по умолчанию. По его мнению, механизмом мог бы воспользоваться злоумышленник с доступом к репозиториям проекта.
Представитель проекта frenck сначала ответил резко, но затем извинился за пренебрежительный тон. Выяснилось, что проверку можно отключить командой ha security options --pwned=false. Эта функция существует в Supervisor годами и проверяет параметры приложений, помеченные как пароли. Недавний релиз лишь исправил предупреждение, из-за чего она стала заметной. Приватность заложена в дизайн: Supervisor хеширует секреты локально и отправляет в сервис Have I Been Pwned только первые 5 символов SHA-1-хеша, а сопоставление происходит на самом устройстве. Код доступен в файле supervisor/utils/pwned.py. Признано, что документация должна была объяснить работу функции и способ её отключения — страницу обещали обновить.