Home Assistant, 비밀번호를 바꿔도 집 열쇠는 그대로였다
Home Assistant: the password is not the key – token secrets in cleartext
Home Assistant 2026.11.0을 직접 시험한 보안 연구에서, 모든 사용자의 refresh token 시크릿과 JWT 서명 키가 config/.storage/auth 파일에 평문으로 저장되고 검증은 단순 문자열 비교로 이뤄진다는 사실이 드러났다. long-lived와 system refresh token은 만료가 없고, 비밀번호를 바꿔도 토큰은 하나도 폐기되지 않는다. 백업 파일 하나만 유출돼도 비밀번호 변경으로 막을 수 없는 영구 접근 권한이 생긴다는 것이 핵심이다.
설정 디렉터리나 백업을 한 번이라도 읽는 것만으로 집에 대한 영구적이고 비밀번호 변경에도 끄떡없는 접근 권한이 생기는데, 사용자가 가장 먼저 떠올리는 유일한 대응책인 비밀번호 변경은 아무 효과가 없다.