Смена пароля в Home Assistant не отзывает токены: они лежат в открытом виде и живут годами

Home Assistant: the password is not the key – token secrets in cleartext

Исследователь проверил home-assistant/core 2026.11.0 и обнаружил, что секреты всех refresh-токенов хранятся в открытом виде в config/.storage/auth и сверяются простым сравнением строк. Два класса токенов не истекают никогда, а все четыре способа смены пароля не отзывают ни одного токена. Пароль от резервных копий тоже лежит в plaintext, а сами бэкапы содержат .storage/auth. Любая утечка каталога конфигурации даёт долговременный доступ к дому, который сменой пароля не закрыть.