私は私のシークレットをスキャンする統合を承認したことはありません
I never authorized an integration that scans my secrets (github.com)
要約
Home Assistantのユーザーが、自身のシークレット（パスワードなど）が知らないうちにスキャンされ、HIBP（Have I Been Pwned）に送信される可能性がある機能について懸念を表明しました。開発者は、この機能はローカルでハッシュ化され、プライバシーを保護するために最初の5文字のみが送信されると説明しましたが、ユーザーはこれをオプトイン機能にすべきだと主張しました。最終的に、この機能は設定で無効にできることが確認されました。
全文翻訳
秘密情報をスキャンする連携機能を承認した覚えはない #49314
Description
Type of issue
Other (issue in content formatting, broken link or image, non-working widget)
Problem description
これはかなり深刻なプライバシー侵害です。
私は、たとえハッシュ化されているか否かにかかわらず、秘密情報をスキャンして送信するような連携機能やプラグインを一切承認していません。
この仕組みは、Home AssistantのGitHubリポジトリにアクセスできる悪意のある攻撃者によって、様々な方法で悪用される可能性があります。
この機能はどうすればオフにできますか？
Suggested solution
この機能をオプトイン機能にしてください。人々が認識していないシステムで、秘密情報をスキャンすることに勝手にオプトインさせないでください。
URL
https://www.home-assistant.io/more-info/pwned-passwords/
Version
2026.10.1
How do you know the suggested solution is correct?
No response
Additional information
No response
このリポジトリはドキュメント用なので、これを閉じたままにしておきますが、以前の返信がこの件に値するよりも軽視していたため、フォローアップしたいと思います。申し訳ありません。
実は、このチェックはすでにオフにできることがわかりました：
ha security options --pwned=false
透明性を保つために言いますが、このチェックは新しいものではなく、数年前からSupervisorの一部でした。パスワードとしてマークされているアプリのオプションをチェックします。最近のリリースで、それを表示する警告が修正されたため、現在表示されています。
プライバシーはこの機能の設計要件であり、だからこそあなたの秘密情報はシステムから決して流出しません。Supervisorはローカルでそれらをハッシュ化し、最初の5文字だけを…
Activity
-
frenck commented on Oct 16, 2026
Member
こんにちは 👋
これはプライバシー侵害ではありませんし、これを行っている他のアプリも確かに存在します（特に1Passwordパスワードマネージャー）。あなたのパスワードは決して送信されず、公開もされません。
詳細はこちらをご覧ください：https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/
実際、プライバシーを考慮してこれらのタイプのデータを処理するように設計されています。こちらも参照してください：https://en.wikipedia.org/wiki/K-anonymity
むしろ、出力から学ぶべきです。なぜなら、あなたが使用している秘密情報がパスワードデータベースにリストされており、それゆえ簡単に「ハッキング」可能だからです。
../Frenck
［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］
個人的なつぶやきを frenck.dev でブログに書いています。
Reacted by xor eax,eax
-
Viss commented on Oct 16, 2026
Author
私はPhobos Groupを経営しており、世界中を旅してセキュリティに関するプレゼンテーションを行っています。
私はHIBPについて非常によく知っており、過去にトロイにも会ったことがあります。
2011年にTwitterの唯一のレッドチームスタッフだった時に、1Passwordの導入を支援しました。Home Assistantが、私のオプトインなしに、私の許可なく、私のHAインストールから何かをスキャンしてHIBPに送信したことには、まだ納得していません。
これはオプトイン機能であるべきで、「ただ起こる」ものであってはなりません。
レッドチーマーとして、地球上のすべてのHAインストールの認証情報を盗むために、これをどのように悪用できるかのリストをいくらでも挙げることができます。Reacted by Daniel W. Crompton
-
Viss commented on Oct 16, 2026
Author
HAが私のシステムから許可なく何かを持ち出し、第三者に送信していないと私が納得するまで、この問題は閉じられません。
Reacted by Daniel W. Crompton
-
frenck commented on Oct 16, 2026
Member
この問題は「won't fix」として閉じられました。残念です。
../Frenck
Reacted by Latte macchiato
Reacted by Ryan Carter, Ben Lee, Ciarán Ainsworth, Daniel W. Crompton, xor eax,eax and Jamie Bliss
-
0x00string commented on Oct 16, 2026
こんにちは、長年のHAユーザーです。この問題を再オープンし、無効化する方法についての質問に対処してください。もし無効化する方法が現在実装されていない場合は、ユーザーベースにこれを受け入れさせ、あなたの言葉を信じるように主張するのではなく、それを実装することを検討してください。この応答は非常に軽視しているように感じられ、このプラットフォームのユーザーとして、OPと同じ懸念を抱いており、ここでの応答が懸念に適切に対処しているとは思えないため、二次的に気分を害されています。
もしこれを合理的に対処する関心がないのであれば、お知らせください。そうすれば、アンインストールしてフォークすることができます。
Reacted by Daniel W. Crompton
Reacted by Justin Myers
-
frenck commented on Oct 16, 2026
Member
アンインストールしてフォークするのであれば、お知らせください。
申し訳ありませんが、これらは私たちが対応できるような発言ではありません。そのような脅迫を行い、私たちを威圧しようとしても、何も得られません。機能リクエストをしたいのであれば、それは構いません。そのための場所があります。
このレポートは私たちのドキュメントに関するものです。この問題を調整したり対処したりするために調整できるドキュメントは何もありません。したがって、「won't fix」として閉じられました。
もしこれがすべて、あなたがアンインストールしてフォークする理由であるならば…🤷 それはそれで構いません。結局のところ、オープンソースなのですから。
../Frenck
［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］
個人的なつぶやきを frenck.dev でブログに書いています。
-
troed commented on Oct 16, 2026
プライバシー侵害ではありません
はい。はい、そうです。
/whitehat hacker
-
locked
議論が白熱しすぎたため
および会話をコラボレーターに限定しました
-
frenck commented on Oct 16, 2026
Member
このリポジトリはドキュメント用なので、これを閉じたままにしておきますが、以前の返信がこの件に値するよりも軽視していたため、フォローアップしたいと思います。申し訳ありません。
実は、このチェックはすでにオフにできることがわかりました：
ha security options --pwned=false透明性を保つために言いますが、このチェックは新しいものではなく、数年前からSupervisorの一部でした。パスワードとしてマークされているアプリのオプションをチェックします。最近のリリースで、それを表示する警告が修正されたため、現在表示されています。
プライバシーはこの機能の設計要件であり、だからこそあなたの秘密情報はシステムから決して流出しません。Supervisorはローカルでそれらをハッシュ化し、Have I Been PwnedにSHA-1ハッシュの最初の5文字のみを送信します。HIBPは、そのプレフィックスで始まるすべてのハッシュを返します。照合はあなたのインスタンス上で行われます。正確な動作はここで確認できます：https://github.com/home-assistant/supervisor/blob/main/supervisor/utils/pwned.py
私たちのドキュメントには、これをオフにする方法を含め、このことについて説明すべきだったというのは正しいです。そのページを更新します。
../Frenck
［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］ ［画像］
個人的なつぶやきを frenck.dev でブログに書いています。