Tapo 라이브러리가 TP-Link의 TPAP 프로토콜 지원
원제 Tapo (Rust/Python library) now speaks TP-Link's TPAP protocol
130 포인트댓글 65
Key Point
스위치를 끄고도 장치를 제어할 수 있게 되면서 Home Assistant 같은 타사 홈 오토메이션 플랫폼 사용자가 TP-Link의 강제 제약을 우회할 수 있게 됐다.
핵심 요약
- TP-Link Tapo 장치용 비공식 Rust/Python 클라이언트 라이브러리 tapo v0.11.1이 TPAP 프로토콜을 지원하면서, 앱의 '타사 호환성' 스위치를 끌 수 있게 됐다.
- TP-Link는 펌웨어 1.4.0 이후 이 스위치를 기본적으로 꺼두어, 사용자가 직접 켜지 않으면 타사 클라이언트가 접속할 수 없게 만들었다.
- KLAP 프로토콜은 해시 기반 인증으로 녹화된 로그인 기록만으로 오프라인 비밀번호 추측 공격이 가능한 반면, TPAP는 RFC 9383의 SPAKE2+ 방식을 써서 해당 장치와 직접 시도해야만 테스트할 수 있다.
- 녹화된 트래픽의 세션 키도 TPAP는 매 로그인마다 고유한 임시 값으로 생성하므로, 나중에 비밀번호를 알아도 과거 세션을 복호화할 수 없다.
- v0.10.0과 v0.11.0 릴리스에서는 H200과 H500 카메라 허브 지원이 추가되었고, 이들은 센서·스위치 페어링 외에 카메라 녹화 목록 조회 및 MPEG-TS 형식의 비디오 클립 다운로드 기능을 제공한다.
- 플러그 장치에는 매일 지정된 시간, 또는 일출·일몰 기준 오프셋 시간에 작동하는 스케줄 규칙과 1초~24시간의 단일 카운트다운 타이머 기능이 추가됐다.
- MCP 서버인 tapo-mcp v0.5.3도 H200/H500 허브와 타사 호환성이 꺼진 장치를 지원하도록 업데이트되었다.
- 계획 중인 추가 작업으로는 H110 허브(적외선 리모콘), 고정식 카메라(C120 등), 장치 시뮬레이터, Node.js 래퍼 등이 있다.
- 역사적으로 TP-Link는 2023년 보안 취약점 이후 AES에서 KLAP로 전환했고, 2024년 카메라 취약점 이후 타사 호환성 스위치를 도입했으며, 2025년 새 프로토콜 도입 시마다 기본적으로 타사 접근을 차단해왔다.