قدم المطور Frenck توضيحاً بخصوص ميزة أمنية في Home Assistant Supervisor أثارت قلق بعض المستخدمين. هذه الميزة تقوم بفحص كلمات المرور المحفوظة للتأكد من أنها لم تتعرض للاختراق، وقد أكد Frenck أن هذه الميزة لا تزال تحافظ على خصوصية المستخدمين بشكل كامل.
كيف يعمل فحص كلمات المرور؟
يشير Frenck إلى أن فحص كلمات المرور ليس ميزة جديدة، بل هو جزء من Supervisor منذ عدة سنوات. ما تغير مؤخراً هو إصلاح تحذير كان يظهر للمستخدمين، مما جعلهم يلاحظون وجود هذه الميزة الآن. وقد اعتذر Frenck عن الرد الأولي الذي كان أقل تفصيلاً مما تستحقه المسألة.
تم تصميم الميزة مع مراعاة الخصوصية، حيث لا تغادر أسرار المستخدمين أجهزتهم أبداً. يقوم Supervisor بتجزئة كلمات المرور محلياً باستخدام خوارزمية SHA-1، ثم يرسل الأحرف الخمسة الأولى فقط من هذا التجزئة إلى خدمة Have I Been Pwned (HIBP). تقوم HIBP بإرجاع كل التجزئات التي تبدأ بهذه البادئة، ويتم بعد ذلك إجراء المطابقة النهائية على جهاز المستخدم نفسه. يمكن للمطورين مراجعة الشيفرة المصدرية لهذه الآلية على GitHub.
للمستخدمين الذين يفضلون تعطيل هذه الميزة، يمكن القيام بذلك باستخدام الأمر التالي: ha security options –pwned=false. وقد أقر Frenck بضرورة تحديث الوثائق لشرح هذه الميزة وكيفية تعطيلها.
ما يعنيه هذا للمطورين؟
نرى أن هذه الحادثة تسلط الضوء على أهمية الشفافية في ميزات الأمان، خاصة تلك التي تتعامل مع بيانات حساسة مثل كلمات المرور. بالنسبة للمطورين الذين يبنون أدوات أو أنظمة تتضمن فحصاً أمنياً مشابهاً، فإن تصميم آلية تحافظ على خصوصية المستخدمين بالكامل، مع توفير وثائق واضحة وخيار للتحكم، يعد أمراً بالغ الأهمية. كما تؤكد هذه الحالة على ضرورة التواصل الواضح مع المستخدمين حول كيفية عمل الميزات الأمنية وتأثيرها.
المصدر: github.com