Home Assistant bị tố quét mật khẩu người dùng không xin phép: Sự thật đằng sau tính năng kiểm tra mật khẩu rò rỉ

Một cuộc tranh luận gay gắt đã nổ ra trên kho GitHub của Home Assistant sau khi một người dùng am hiểu về bảo mật cáo buộc nền tảng nhà thông minh này tự động quét các thông tin bí mật trong hệ thống của anh mà không hề xin phép.

Chuyện gì đã xảy ra?

Người dùng có tên Viss — người tự nhận đang điều hành công ty bảo mật Phobos Group và từng là thành viên duy nhất của đội red-team tại Twitter năm 2011 — đã mở issue số 49314 với tiêu đề đầy bức xúc: "Tôi chưa bao giờ cho phép một tích hợp nào quét các bí mật của mình".

Anh phát hiện ra rằng Home Assistant Supervisor đang tự động kiểm tra các mật khẩu được lưu trong hệ thống và gửi dữ liệu lên dịch vụ Have I Been Pwned (HIBP) — một cơ sở dữ liệu trực tuyến chứa hàng tỷ mật khẩu đã bị rò rỉ trong các vụ tấn công mạng.

"Đây là một sự xâm phạm quyền riêng tư khá nghiêm trọng. Tôi chưa bao giờ cho phép bất kỳ tích hợp hay plugin nào quét các bí mật rồi gửi chúng đi, dù đã băm hay chưa."

Viss lập luận rằng cơ chế này có thể bị lợi dụng bởi kẻ tấn công có quyền truy cập vào kho GitHub của Home Assistant, và đặt câu hỏi thẳng thắn: "Làm sao để tắt thứ này đi?"

Phản hồi gây tranh cãi từ nhà phát triển

Frenck — thành viên chủ chốt của dự án Home Assistant — đã phản hồi ban đầu khá gay gắt, khẳng định rằng đây không phải là xâm phạm quyền riêng tư và so sánh với cách trình quản lý mật khẩu 1Password cũng làm điều tương tự. Anh giải thích rằng mật khẩu người dùng không bao giờ bị gửi đi hay công bố, đồng thời đính kèm liên kết đến khái niệm K-anonymity — kỹ thuật ẩn danh hóa dữ liệu.

Tuy nhiên, Viss không chấp nhận lời giải thích này. Anh nhấn mạnh mình rất hiểu về HIBP, từng gặp người sáng lập Troy Hunt, và vẫn bất bình vì Home Assistant đã quét hệ thống của anh mà không có sự đồng ý rõ ràng.

"Đây nên là tính năng tự nguyện bật (opt-in), chứ không phải thứ 'tự nhiên xảy ra'. Với tư cách là một red-teamer, tôi có thể đưa ra một danh sách dài cả cánh tay về cách khai thác cơ chế này để moi thông tin đăng nhập từ mọi bản cài Home Assistant trên hành tinh."

Cuộc tranh luận leo thang khi Frenck đóng issue với trạng thái "won't fix" (không sửa) và cho rằng những lời đe dọa "gỡ cài đặt rồi fork" không phải là điều họ có thể làm việc cùng. Nhiều người dùng khác như 0x00string và troed cũng lên tiếng ủng hộ Viss, cho rằng phản hồi của nhà phát triển mang tính "gạt phăng" và thiếu tôn trọng.

Lời xin lỗi và sự thật kỹ thuật

Sau khi cuộc thảo luận bị khóa vì "quá nóng", Frenck đã đăng một bình luận ghim để xin lỗi vì những phản hồi trước đó mang tính xua đuổi hơn mức cần thiết.

Anh tiết lộ hai điểm quan trọng:

• Có thể tắt tính năng này bằng lệnh: ha security options --pwned=false
• Cơ chế này không hề mới — nó đã tồn tại trong Supervisor nhiều năm, chỉ là một bản cập nhật gần đây đã sửa cảnh báo hiển thị, khiến người dùng nhận ra sự tồn tại của nó.

Về mặt kỹ thuật, đây là cách hoạt động của tính năng:

1. Supervisor băm cục bộ mật khẩu bằng thuật toán SHA-1 ngay trên máy người dùng.
2. Chỉ 5 ký tự đầu tiên của chuỗi băm được gửi đến Have I Been Pwned.
3. HIBP trả về tất cả các mã băm có cùng tiền tố đó.
4. Việc đối chiếu diễn ra hoàn toàn trên máy của bạn — mật khẩu gốc không bao giờ rời khỏi hệ thống.

Đây chính là nguyên lý K-anonymity mà các trình quản lý mật khẩu như 1Password, LastPass hay Google Password Checkup cũng đang áp dụng để kiểm tra mật khẩu rò rỉ mà không làm lộ dữ liệu người dùng.

Frenck thừa nhận nhóm phát triển nên giải thích rõ điều này trong tài liệu, bao gồm cả cách tắt, và cam kết sẽ cập nhật trang hướng dẫn.

Góc nhìn cho người dùng Việt Nam

Sự việc này phản ánh một vấn đề rộng hơn trong giới phần mềm mã nguồn mở: ranh giới giữa tiện ích và quyền riêng tư. Với những người dùng Việt Nam đang vận hành Home Assistant để quản lý nhà thông minh, đây là lời nhắc nhở đáng lưu ý:

• Luôn kiểm tra các tính năng bảo mật tự động bật mặc định trong phần mềm bạn cài đặt.
• Khi một tính năng có liên quan đến dữ liệu nhạy cảm, hãy đọc tài liệu kỹ càng.
• Nếu bạn cảm thấy không thoải mái, có thể tắt kiểm tra mật khẩu rò rỉ bằng lệnh ha security options --pwned=false.

Dù cơ chế K-anonymity thực sự bảo vệ dữ liệu khá tốt, bài học lớn nhất ở đây là sự minh bạch và quyền lựa chọn của người dùng. Một tính năng tốt về mặt kỹ thuật vẫn có thể gây phản ứng tiêu cực nếu nó được triển khai âm thầm mà không thông báo rõ ràng — một bài học không chỉ dành riêng cho Home Assistant.