# مستخدم يعترض على فحص Home Assistant لكلمات المرور دون إذنه، والفحص لا يرسلها خارج الجهاز

> **المغزى:** المغزى: خاصية آمنة تقنيًا يمكن أن تفقد ثقة المستخدم إذا عملت دون علمه، فالإعداد الافتراضي ليس تفصيلة تقنية بل قرار يُتخذ نيابة عنه.

- المصدر: المغزى (https://almaghza.com/a/2026-10-17-home-assistant-pwned-passwords-default/)
- التاريخ: 6 جمادى الأولى - 17 أكتوبر 2026 (2026-10-17)
- القسم: أمن سيبراني
- الوسوم: Home Assistant، الخصوصية، مديرو كلمات المرور، الأمن السيبراني

فتح مستخدم يحمل اسم @Viss في 16 أكتوبر 2026 بلاغًا (issue) رقمه 49314 على GitHub في مشروع Home Assistant، على النسخة 2026.10.1، يقول فيه إنه لم يسمح لأي شيء بفحص كلمات المرور الخاصة به. وأُغلق البلاغ لاحقًا ومُنع التعليق عليه إلا للمساهمين بعد أن احتد النقاش.

والقصة تستحق الفهم لأن الطرفين على حق في أمرين مختلفين.

فبحسب تعليق المشرف على المشروع @frenck، المثبّت في البلاغ نفسه، يأخذ النظام كلمة المرور ويحسب لها hash محليًا باستخدام SHA-1. ثم يرسل أول 5 حروف فقط من هذا الـ hash إلى خدمة Have I Been Pwned، التي تعيد كل الـ hashes المسرّبة التي تبدأ بهذه الحروف، وقد تكون بالمئات. وتجري المقارنة على جهاز المستخدم نفسه.

وتسمى هذه الطريقة k-anonymity، ومعناها أن الخدمة لا تعرف أي كلمة مرور يُسأل عنها تحديدًا. فلا كلمة المرور تغادر الجهاز، ولا الـ hash الكامل.

لكن اعتراض المستخدم لم يكن عن تسريب، بل عن أن أحدًا لم يسأله. فالخاصية مفعّلة افتراضيًا، ولم يكن التوثيق يشرحها ولا يذكر طريقة إيقافها. وكان أول رد من المشرف إغلاق الموضوع سريعًا، ثم عاد واعتذر، وكتب الأمر الذي يوقف الفحص (ha security options --pwned=false)، وأقرّ بأن التوثيق كان يجب أن يشرح ذلك.

وفي القصة درسان لمن يبني منتجات. الأول أن هذه الآلية يمكن استخدامها في أي منتج يتعامل مع كلمات المرور، للتحقق من تسريبها دون رؤيتها. والثاني أن الأمان التقني لا يغني عن الوضوح، فالإعداد الافتراضي هو القرار الفعلي الذي يعيش معه أغلب المستخدمين.

## المصادر

- [الـ issue الأصلية على GitHub](https://github.com/home-assistant/home-assistant.io/issues/49314)
- [صفحة توثيق الخاصية](https://www.home-assistant.io/more-info/pwned-passwords/)
- [شرح Cloudflare لطريقة k-anonymity](https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/)
- [توثيق API خدمة Have I Been Pwned](https://haveibeenpwned.com/API/v3#SearchingPwnedPasswordsByRange)