비밀 정보를 스캔하는 통합 기능, 나는 승인한 적 없다

AI 요약

Home Assistant 사용자가 자신의 비밀 정보(secrets)를 스캔하는 통합 기능을 승인한 적이 없다며 GitHub에 이슈를 제기했다. 이 기능은 Supervisor에 수년간 포함되어 있던 것으로, 최근 릴리스에서 경고가 표시되면서 사용자가 인지하게 됐다. 개발자 frenck은 이 기능이 k-익명성(k-anonymity)을 기반으로 비밀번호를 로컬에서 해시하고 앞 5자만 전송한다고 해명했다. 사용자는 ha security options --pwned=false 명령으로 기능을 끌 수 있다.

핵심 포인트

• Home Assistant 2026.10.1 버전에서 비밀번호 스캔 경고가 표면화
• 개발자 frenck은 "프라이버시가 설계 요구사항"이라며 비밀번호가 외부로 전송되지 않는다고 해명
• k-익명성 방식으로 로컬 해시 후 앞 5자만 전송(Cloudflare 블로그 참조)
• ha security options --pwned=false로 비활성화 가능

향후 전망

• 옵트인(opt-in) 방식 전환 요구가 이어질 가능성
• 유사한 프라이버시 민감 기능에 대한 사용자 인지·동의 절차 강화 논의