Nunca autoricé una integración que escanea mis secretos
Un proyecto de domótica está bajo fuego por comprobar silenciosamente, por defecto, las contraseñas almacenadas contra la base de datos de filtraciones “Have I Been Pwned”, enviando los primeros cinco caracteres del hash SHA‑1 de cada contraseña a un servicio de terceros. Muchos usuarios sostienen que incluso esta साझा limitada de datos viola las expectativas de un sistema local centrado en la privacidad y debería requerir un consentimiento explícito de opt‑in, especialmente por las preocupaciones sobre confianza, GDPR y posibles fugas de información. La controversia se intensifica por una respuesta del mantenedor percibida como despectiva —seguida de una disculpa y de pasos hacia una mejor documentación y un modelo de opt‑in—, lo que lleva a algunos usuarios a reconsiderar su dependencia de la plataforma.
Función y comportamiento
- El supervisor de Home Assistant incluye una comprobación de “contraseña comprometida”: calcula el hash de los secretos (p. ej., contraseñas en la configuración de HA) con SHA‑1 y envía solo los primeros 5 caracteres hexadecimales a Have I Been Pwned (HIBP), y luego hace la coincidencia localmente usando k‑anonymity.
- Este comportamiento ha estado presente durante años, pero un cambio reciente mostró advertencias para que los usuarios se dieran cuenta.
- Hay una bandera de línea de comandos para desactivarlo, pero no estaba documentada; ahora una PR pretende convertirlo en algo que requiera activación explícita.
Privacidad, consentimiento y expectativas
- Muchos comentaristas dicen que el problema principal es la privacidad y el consentimiento, no la criptografía:
- Los usuarios no esperaban que un sistema de domótica “local” y “centrado en la privacidad” contactara por defecto a servicios de terceros sobre sus secretos.
- Varios sostienen que cualquier tráfico saliente no solicitado —“incluso un solo byte”— rompe la confianza y viola el principio de menor sorpresa.
- Algunos citan el propio mensaje de privacidad del proyecto y un principio de nube de “opt‑in por defecto”, y dicen que esta función contradice eso.
Debate sobre seguridad y k‑anonymity
- Un bando argumenta que el esquema es, en la práctica, seguro:
- Solo se envían 5 caracteres hex de un hash; el tamaño mediano del bucket es grande.
- Los atacantes ya necesitarían contraseñas débiles o conocidas; muchos otros gestores de contraseñas usan comprobaciones similares.
- Otro bando señala investigaciones sobre ataques contra el uso de HIBP al estilo k‑anonymity:
- Los prefijos pueden ayudar al brute force y a adivinar contraseñas.
- Las solicitudes filtran metadatos (IP, probable presencia de ciertas contraseñas, uso del software).
- Enfatizan modelos de amenaza desconocidos y abogan por minimizar cualquier fuga de información.
- Algunos dicen que plantearlo principalmente como un problema de seguridad es engañoso; en realidad es sobre todo un problema de privacidad/confianza y de “llamar a casa”.
Cuestiones legales y regulatorias
- Algunos comentaristas sugieren posibles problemas de GDPR debido a las direcciones IP y al reutilizar datos personales para un nuevo propósito.
- Otros cuestionan si solo el prefijo del hash es PII; en general, la legalidad se describe como poco clara.
Respuesta del desarrollador y confianza de la comunidad
- Las respuestas iniciales del mantenedor se describen ampliamente como despectivas, poco empáticas e innecesariamente confrontativas (por ejemplo, llamar “amenazas” a las preocupaciones de los usuarios y sugerirles que hagan un fork).
- Un seguimiento posterior incluye una disculpa, una aclaración de la función y la promesa de mejorar la documentación; algunos lo ven como genuino, otros como control de daños.
- Se mencionan disputas pasadas en otros proyectos como algo que contribuye a las preocupaciones sobre el criterio y la cultura.
- Varios usuarios dicen que este incidente les hace reconsiderar adoptar o recomendar Home Assistant; otros siguen viéndolo como superior a las alternativas centradas en la nube, pero lo consideran un serio error de confianza.