홈어시스턴트의 몰래 하는 비밀번호 스캔, 논쟁이 되다
원제 I never authorized an integration that scans my secrets
163 포인트댓글 116
Key Point
사용자 동의 없는 데이터 처리와 투명성 부족으로 오픈소스 프로젝트의 신뢰 문제를 다룬 사례로, 개인정보 보호 정책과 커뮤니티 관계 관리를 고민하는 개발자들에게 참고가 됩니다.
핵심 요약
- 홈어시스턴트 사용자가 자신이 명시적으로 동의하지 않은 채로 시스템이 암호를 스캔하고 외부로 전송한다며 개인정보 침해를 제기했다.
- 개발팀은 이 스캔 기능이 수년 전부터 Supervisor에 포함된 기존 기능이며, 최근 업데이트에서 경고창이 표시되기 시작했다고 설명했다.
- 스캔은 'K-anonymity' 기법을 따르며 비밀번호는 로컬에서 SHA-1로 해시되고, 해시의 처음 5글자만 Have I Been Pwned(HIBP) 서비스로 전송된다고 밝혔다.
- 사용자의 실제 비밀번호는 시스템을 벗어나지 않으며, HIBP에서 반환된 값들과의 매칭은 사용자 인스턴스에서만 수행된다고 강조했다.
- 비밀번호 스캔은 ha security options --pwned=false 명령으로 비활성화할 수 있다고 개발팀이 안내했다.
- 보안 전문가인 사용자는 동의 없는 스캔이 부적절하며, 레드팀 관점에서 이를 악용할 여러 방법이 있다고 주장했다.
- 개발팀은 기능 자체는 닫힌 것으로 처리했지만, 설명 부족을 인정하고 문서화를 개선하겠다고 약속했다.