I never authorized an integration that scans my secrets

我从未授权任何扫描我秘密信息的集成 · Issue #49314 · home-assistant/home-assistant.io · GitHub

仓库导航

$

我从未授权任何扫描我秘密信息的集成 #49314

$!

新建问题

/$

复制链接

已关闭

我从未授权任何扫描我秘密信息的集成

#49314

标签

更多信息

描述

Viss

于 2026 年 10 月 16 日创建

问题正文操作

问题类型

其他（内容格式问题、损坏链接或图片、无法工作的组件）

问题描述

这严重侵犯了隐私。我从未授权任何用于扫描秘密信息并上传的集成或插件，即使这些信息是哈希处理过的。这种机制可能被恶意攻击者以多种方式滥用，只要他们能访问 Home Assistant 的 GitHub 仓库。

如何关闭这个功能？

建议的解决方案

将此功能设置为需要用户主动启用，而不是默认启用扫描秘密信息的功能，即使用户之前并不知晓该功能的存在。

URL

https://www.home-assistant.io/more-info/pwned-passwords/

版本

2026.10.1

为什么建议的解决方案是正确的？

无回复

其他信息

当前无法查看反应

由 frenck 针对性标记

针对性评论选项

由于此仓库用于我们的文档，因此我将此问题关闭，但我希望跟进，因为之前的回复对这个问题过于轻率。对此我表示歉意。事实上，这个检查功能已经可以关闭：ha security options --pwned=false 为了保持透明：这个检查功能并非新功能，它已经作为 Supervisor 的一部分存在多年。它会检查被标记为密码的应用选项。最近的版本修复了显示此检查的警告信息，因此你现在能看到这个提示。从一开始，隐私就是这个功能的设计要求，因此你的秘密信息永远不会离开你的系统。Supervisor 会在本地对它们进行哈希处理，并仅发送前 5 个字符……

查看完整评论

活动

• home-assistant 于 2026 年 10 月 16 日添加了标签 more-info

• frenck 于 2026 年 10 月 16 日评论 frenck 于 2026 年 10 月 16 日 成员 更多操作 你好👋 这并不是对隐私的侵犯，而且肯定还有其他应用程序也在做类似的事情（最明显的是 1Password 密码管理器）。你的密码永远不会被发送出去，也永远不会被公开。了解更多内容请访问：https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/ 事实上，该功能的设计初衷就是以隐私为重来处理这类数据，也请参见：https://en.wikipedia.org/wiki/K-anonymity 如果可能，从输出结果中学习，因为你在使用的秘密信息已经被列入密码数据库，因此很容易被“破解”。../Frenck 在 frenck.dev 博客分享我的个人见解 👎 用 👎 反应 1 人已用 👎 反应 xor eax,eax

• frenck 于 2026 年 10 月 16 日将此问题标记为已完成

• Viss 于 2026 年 10 月 16 日评论 Viss 于 2026 年 10 月 16 日 作者 更多操作 我经营 Phobos Group，全球各地做安全主题演讲。我对 HIBP 非常熟悉，过去也与 Troy 有过接触。2011 年我曾是 Twitter 的唯一红队成员，当时协助部署了 1password。我仍然对 Home Assistant 在未经我同意的情况下扫描我的 HA 安装并将数据上传至 HIBP 的行为感到不满。这应该是一个需要用户主动选择的功能，而不是默认自动执行的操作。作为红队专家，我可以列出无数方法来利用这一漏洞，从全球所有 HA 安装中窃取凭证。👍 点赞 1 人：Daniel W. Crompton

• Viss 于 2026 年 10 月 16 日评论 Viss 于 2026 年 10 月 16 日 作者 更多操作 除非我确认 HA 不会在未经我允许的情况下从我的系统中提取数据并发送给第三方，否则这个问题不会关闭。👍 点赞 1 人：Daniel W. Crompton

• frenck 于 2026 年 10 月 16 日评论 frenck 于 2026 年 10 月 16 日 成员 更多操作 该问题已标记为“不会修复”。抱歉。../Frenck 👍 点赞 1 人：Latte macchiato 👎 反对 6 人：Ryan Carter, Ben Lee, Ciarán Ainsworth, Daniel W. Crompton, xor eax,eax 和 Jamie Bliss

• 0x00string 于 2026 年 10 月 16 日评论 0x00string 于 2026 年 10 月 16 日 更多操作 你好，我是长期 HA 用户。请重新开启这个问题并解决如何禁用该功能的问题。如果目前没有禁用方法，请考虑实现该功能，而不是要求用户群体接受现状并信任你们的说法。这种回应显得极其敷衍，作为平台用户，我对此感到次生冒犯，因为我与原帖作者有完全相同的担忧，且认为这里的回应并未充分解决这些担忧。如果你们没有兴趣合理解决这个问题，请告知我们，这样我们可以卸载并分叉项目。👍 点赞 1 人：Daniel W. Crompton ❤️ 点赞 1 人：Justin Myers

• frenck 于 2026 年 10 月 16 日评论 frenck 于 2026 年 10 月 16 日 成员 更多操作 请告知我们这样我们可以卸载并分叉项目 抱歉，我们无法接受这种说法。发出此类威胁和试图恐吓不会带来任何帮助。如果你想提出功能请求，这没问题，我们有专门的渠道。这份报告已包含在我们的文档中。无论我如何调整文档都无法改变这一点或解决这个问题。因此标记为“不会修复”。如果这就是你卸载并分叉项目的全部理由... 🤷 那就随你吧，毕竟这是开源项目。../Frenck 在 frenck.dev 博客发表个人随笔

• troed 于 2026 年 10 月 16 日评论 troed 于 2026 年 10 月 16 日 更多操作 这不是侵犯隐私 是的。不是。/白帽黑客

• home-assistant 于 2026 年 10 月 16 日锁定讨论，因讨论过于激烈且仅限协作者参与

• frenck 于 2026年10月16日 评论了 frenck 于 2026年10月16日 · 由 frenck（成员）固定 更多操作 由于这个仓库用于我们的文档，因此我将其关闭，但我想跟进，因为我之前的回复对这个问题过于轻率了。对此我表示歉意。实际上，这个检查功能已经可以关闭：ha security options --pwned=false 为了透明起见：这个检查并非新功能，它已经作为 Supervisor 的一部分存在多年。它会检查被标记为密码的应用选项。最近的一个版本修复了显示该检查的警告信息，因此你现在能看到这个提示。隐私是该功能从设计之初就提出的要求，这也是为什么你的密钥永远不会离开你的系统。Supervisor 会在本地对它们进行哈希处理，并仅将 SHA-1 哈希值的前 5 个字符发送到 Have I Been Pwned。HIBP 会返回所有以该前缀开头的哈希值，匹配过程在你自己的实例上完成。你可以在这里看到它的具体实现：https://github.com/home-assistant/supervisor/blob/main/supervisor/utils/pwned.py 你说得对，我们的文档应该已经解释了这一点，包括如何关闭它。我们会更新相关页面。../Frenck 在 frenck.dev 博客上发表个人随笔

• frenck 于 2026年10月16日 固定了一条评论

• frenck 于 2026年10月16日 将 "Missing instructions on how to opt-in to this #49318" 标记为该问题的重复问题

免费注册

加入 GitHub 上的对话

已有账户？ 登录评论

元数据

负责人

无人负责

标签

类型

无类型

字段

优先级

尚未设置

项目

无项目

里程碑

无里程碑

关系

开发

无分支或拉取请求

问题操作

• 在 GitHub Copilot 应用中打开