Исследователь под псевдонимом knell опубликовал отчёт о хранении секретов доступа в платформе умного дома Home Assistant. На версии 2026.11.0 он проверил, что смена пароля не мешает использовать заранее скопированный токен обновления для получения нового доступа. Отдельно продолжил работать и ранее созданный долгосрочный токен
По данным автора, секреты токенов обновления и соответствующие ключи подписи хранятся в открытом виде в файле конфигурации. При этом сами пароли защищены хешированием. Проверенные способы смены пароля, включая действия пользователя и администратора, меняют запись пароля, но не отзывают токены. Некоторые категории токенов обновления не имеют срока окончания действия, а долгосрочные токены доступа рассчитаны на десять лет
Резервные копии настроек, как указывает исследователь, содержат хранилище токенов, поэтому восстановление возвращает и токены на момент создания копии. Пароль автоматического резервного копирования также сохраняется в открытом виде в каталоге, который попадает в архив. Автор отдельно отмечает сильную генерацию случайных секретов и получасовой срок действия обычных токенов доступа
Описанный сценарий начинается с чтения каталога конфигурации или резервной копии: взлом через сеть без предварительного доступа автор не продемонстрировал. Опасность отчёта — в возможности сохранить доступ после такого чтения даже при последующей смене пароля. Проверка проведена на собственной установке исследователя; подтверждение разработчиков и сведения об исправлении в сообщении не приведены
Первоисточник — Full Disclosure
Сообщите редакции. Существенные исправления мы отмечаем в материале