話題
2026年10月17日
Home Assistantがパスワードを無断スキャン？開発者の対応にも批判
「話題」の記事
ホームオートメーションソフト「Home Assistant」には、設定したパスワードが過去の漏洩データベースに含まれていないかを確認する機能が標準で入っている。方式はSHA-1ハッシュの先頭5文字だけを「Have I Been Pwned」に送る「k-匿名性」モデルで、技術的には比較的穏当とされる仕組みだ。しかし、この機能が明示的な同意なしに動いていたことに気づいたユーザーがGitHub上で「無断でシークレットをスキャンされた」と報告したところ、開発者側の返答が素っ気なく感じられたことから、プライバシーの問題以上に「オープンソースのメンテナーはどう振る舞うべきか」という議論にHacker Newsで発展した。
勝手にシークレットをスキャンする統合を許可した覚えはない
出典: github.com / 元記事はこちら
3
海外の名無しさん
2026-10-16 20:56
気の強い開発者のせいでHome Assistantを使う気が失せた。同じ開発者がこのissueでも主役になっている: https://github.com/NixOS/nixpkgs/pull/126326。関連の議論はこちら: https://news.ycombinator.com/item?id=27505277
20
海外の名無しさん
2026-10-16 21:23
>>3 笑える、あいつのプロフィールには「人間らしさ」とか「ポジティブさ」みたいな綺麗事がやたら書いてあるんだよな…
4
海外の名無しさん
2026-10-16 20:45
いいか、これがネットで人と関わる上での『やってはいけない例』の典型だ。
21
海外の名無しさん
2026-10-16 20:48
>>4 ああ、印象は最悪だね。コミュニティからのフィードバックへの対応としては、これ以上まずいやり方はないと思う。
22
海外の名無しさん
2026-10-16 21:26
>>4 開発者の返答はかなり理性的で冷静だったと思う。むしろユーザーの方が失礼だった。
7
海外の名無しさん
2026-10-16 21:35
ちょっと待って、これってもともとHome Assistantに渡してあるパスワードをハッシュ化して、そのハッシュの先頭5文字だけを送ってるってことだよね…?だったらメンテナーの言う通りで、実害よりも『炎上そのものが目的』の騒ぎに見えるんだけど。
8
海外の名無しさん
2026-10-16 20:45
難しい話だ。意図は分かるけど、これはオプトイン(初期設定でオフ)にすべきだったと思う。
14
海外の名無しさん
2026-10-16 21:05
この開発者、かなり自己弁護っぽく見える。予想してなかった反応だ。自分の空気を読まない返信で騒ぎを大きくしたのに、それを『過熱してる』と言う…もう次のレベルだわ。
29
海外の名無しさん
2026-10-16 21:20
>>14 同じ開発者は、自分のOSSライブラリを他人がパッケージ化するのも気に入らないタイプらしい(https://github.com/NixOS/nixpkgs/pull/126326)。
30
海外の名無しさん
2026-10-16 21:10
>>14 え、お前はGitHubに投稿するたびに自分のSNSアカウント全部のリンクを貼らないの?それって普通にクールなことだし、自己愛的傾向を疑う危険信号なんかじゃ全然ないよね。
15
海外の名無しさん
2026-10-16 20:48
別タブでHome Assistant Greenを買って、多分大して意味のない自動化生活を始めようとしてたんだけど、これを見て一旦止まってる。ハッシュをHave I Been Pwnedに送る件自体より、GitHub上でのこの反応の方が気になる。
16
海外の名無しさん
2026-10-16 20:51
『これが理由でアンインストールしてフォークしたいなら、それでもいい。オープンソースなんだから』…なんて狭量な返事だよ。『嫌ならフォークすれば』ってだけじゃん。
31
海外の名無しさん
2026-10-16 21:21
>>16 もうフォーク作業中だよ、トークン使いまくるぞ!
17
海外の名無しさん
2026-10-16 20:47
ひどく空気を読まない返答の数々だ。
18
海外の名無しさん
2026-10-16 21:31
>>2 『SHA-1ハッシュの先頭5文字だけがHIBPに送られる』とあるけど、先頭5文字でもネットに送信された時点で『自分のシークレットが外に漏れた』と考える人もいるだろう。
19
海外の名無しさん
2026-10-16 21:20
>>2 『実はこのチェックは既にオフにできる』→それで解決じゃん!『自分の返信は必要以上にそっけなかった』→じゃあこっちは?
25
海外の名無しさん
2026-10-16 21:04
>>11 この機能、もう5年も前からあるんだけど…
34
海外の名無しさん
2026-10-16 21:07
>>25 それだとむしろ余計にまずい。気づいていなくても漏洩は漏洩だから。自分はHIBPを使ってる方だけど、それでも『主にプライバシーのために入れたシステムが、デフォルトで第三者にデータを送ってた』と知ったら腹が立つと思う。
35
海外の名無しさん
2026-10-16 21:12
>>25 機能そのものが問題なわけじゃない。
26
海外の名無しさん
2026-10-16 21:32
>>12 具体的にどんな個人情報(PII)がHIBPに送られてると思ってるの?
27
海外の名無しさん
2026-10-16 21:28
>>12 確かにやりすぎではあるけど、送られてるのはただのハッシュだから個人情報(PII)には当たらないと思う。
28
海外の名無しさん
2026-10-16 21:24
>>12 ただ、これがGDPR的にどう違法になるのか気になる。結局ハッシュ化されてるし、そのハッシュは認証にも使われてないわけだし。
32
海外の名無しさん
2026-10-16 21:37
自分の理解では、最近かなりストレス/プレッシャーを抱えてるっぽい。はっきりした理由は分からないけど、起きてることを見てるとそう感じる(少なくとも自分には)。金曜の夜11時半にfrenckにこんな噛み付き方をするのは、多分正しいやり方じゃない。
33
海外の名無しさん
2026-10-16 21:03
>>21 というか、どっちも大人の対応はできてなかったよね。メンテナーがもっとうまく対応すべきだったのは明らかだけど、自分も『わがままなユーザーに言ってやりたい』と思ったことがないとは言えない。問題は、それをプロらしく処理できなかったこと。
36
海外の名無しさん
2026-10-16 21:19
>>33 そもそも人のパスワードにアクセスするような立場に立たなければいい話では。人の財布の中を覗き見するようなことをすれば、乱暴な反応が返ってくるのも当然だ。
この話題の背景と論点
この手法は「k-匿名性」と呼ばれる仕組みで、SHA-1ハッシュの先頭5文字だけをサーバーに送り、残りの照合はクライアント側で行うため、パスワード本体や完全なハッシュが外部に渡るわけではない。同じ方式は1PasswordなどのパスワードマネージャーやFirefoxの漏洩チェック機能でも使われており、仕組み自体は業界で広く使われる標準的な手法だ。スレで意見が割れたのは、技術的な安全性より「同意なく動いていたこと自体」を問題視する立場と、「実害がないのに炎上させている」とする立場の対立だった。またレスの多くは機能そのものより、開発者がユーザーの指摘にどう応答したかという、オープンソースのメンテナー文化に関する議論に流れていった点も特徴的で、この機能が実は5年前から存在していたという指摘も、議論を落ち着かせるどころか余計に反発を招く結果になった。
※本記事は海外掲示板 Hacker News のスレッド「I never authorized an integration that scans my secrets 」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
続けて読む（話題）
この記事のリアクション
😆 おもしろい 0 😮 びっくり 0 😢 かなしい 0 👍 わかる 0 😠 ひどい 0
まだコメントはありません。