研究者披露 Home Assistant 令牌明文存储与改密不吊销问题

研究者 theknell 在 Full Disclosure 披露 Home Assistant 2026.11.0 的令牌安全问题：所有用户的 refresh token 密钥与每令牌的 JWT 签名密钥都以明文写在 config/.storage/auth 一个文件里，且改密码后旧令牌不被吊销——其在自有实例上实测，改密码前从该文件复制的 refresh token 仍能换取新 access token，事先生成的十年期长期令牌也仍可认证。 研究者明确这不是未授权网络入侵，前提是攻击者已能读取 config 目录或备份；其核对的 11 项文档声称中，3 项成立、5 项带条件成立、3 项不成立。

AI 根据报道生成 · 3 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。