immer wieder wird über die Sicherheit von Custom-Integrationen (z. B. aus HACS oder von GitHub) in Home Assistant diskutiert.
Mich würde interessieren, wie die Community das mögliche Risiko einschätzt und wie ihr persönlich mit dem Thema umgeht. Dabei geht es nicht um einzelne Integrationen, sondern ganz allgemein um Custom-Integrationen.
Dazu ein paar Fragen:
Wie schätzt ihr das Sicherheitsrisiko von Custom-Integrationen (z. B. über HACS oder manuell installiert) in Home Assistant ein?
Hat jemand bereits negative Erfahrungen gemacht (z. B. unerwartetes Verhalten, Sicherheitsprobleme oder andere Auffälligkeiten)?
Welche Maßnahmen nutzt ihr, um euer System präventiv zu schützen?
Ich bin gespannt auf eure Erfahrungen und Meinungen.
vielen Dank für deinen Beitrag.
Der Tenor aus deinem Text beschreibt böswillige, gewollte Angriffe.
Das gibt es auch, habe ich aber in der Hauptsache nicht gemeint.
Ich dachte vielmehr an „unsauberen“ Code, welcher vom Autor ungewollt, Schaden anrichtet.
Ich erinnere mich in dem Zusammenhang an eine ALEXA-Integration, welche in entfernter Vergangenheit dazu geführt hat, dass mein Home Assistant ständig neu gestartet wurde.
Habe dann ein Downgrade gemacht und auf den Fix gewartet.
Muss sagen das sehen ich im Grunde auch so, da hätte ich mehr bedenken bei den ganzen Cloud Decice, den da kann keiner nachvollziehen was mit meinen Daten geschieht und wer alles drauf zugreifen kann und wie sicher die dort sind.
Nur das kann dir aber bei allem passieren nicht nur bei Open Source, bei Open Source wird meist schneller darauf reagiert und das bereinigt wo du wenn es von einem Unternehmen kommt darauf hoffen kannst das sie das bald mal bereinigen, wenn nicht hast du Pech gehabt.
Zugegeben - meistens bin ich ein „Trittbrettfahrer“ und installiere Updates nur am Monatsende.
Freue mich aber immer wieder über alle Crashtest-Pioniere, welche durch frühe Updates die Fehler schnell aufdecken.
Da schätze ich das Risiko sehr gering ein. Im schlimmsten Fall frisst dann mal eine Integration viel Ressourcen o.Ä., aber wirklich schlimmen Schaden kann unsauberer Code eher nicht anrichten. Die Integrationen sind ja sehr begrenzt innerhalb HA.
Aber die Gefahr durch bösen Code ist natürlich real. Daher schaue ich vor der Installation meistens einfach, ob das Repo seriös ist, der Useraccount länger exisitiert/ ggf. auch an anderen großen Projekten arbeitet, etc
Mir ist aber auch kein bekannter Fall bekannt, bei dem soetwas irgendeinen Schaden angerichtet hat.
Das mag sein, aber es liegt in der Definition, was ein Schaden ist.
Meine Definition ist: Wenn mein System nicht mehr richtig rund läuft, hat es einen Schaden. So ist es ja geschehen, als die Alexa-Integration dafür verantwortlich war, dass mein Home Assistant im Minutentakt neu gestartet wurde. Auch ist es mal geschehen, dass eine Integration, ich weiss jetzt nicht mehr welche, dafür gesorgt hat, dass die CPU-Last von 3% auf 15% gestiegen ist. Das ist keine Katastrophe, stört mich aber. Wenn man Schaden allerdings so definiert, dass er irreparabel ist, dann hatte ich auch noch keinen.
Ok, so ein Phänomen habe ich gerade am laufen. Der Dekoder für meine WasserUHR. Der verdreifacht meine CPU Auslastung und erhöht den Verbrauch um 1/3. Wenn mein System noch auf einem Pi4 laufen würde, wäre das fast ein NoGo. Aber auch so werde ich das ganze beobachten.
Abend, ich hatte heute schon mal kurz gelesen, aber bin noch nicht zum antworten gekommen. Erstmal muss ich sagen, ich finde opensource immer super und das betrifft ja im Prinzip jede Custom Integration für HA. Dadurch hat sich HA zudem entwickelt was es heute ist. Wenn die Integrationen gut sind, hat man teilweise auch Chancen mit in HA aufgenommen zu werden. Daher begrüße ich jedes Projekt, das offen geteilt wird.
Probleme hatte ich tatsächlich auch schon ein, zweimal. Gutes Beispiel ist die Alexa Integration, aktuell sprechen wir darüber nicht mehr, aber erinnert euch wie es war mit AMP und AD. Trotzdem nutzen es die Leute, weil sie keine andere Alternative haben. Daher begrüßte ich auch die Integration direkt in HA. Die Motivation, etwas in diese Richtung zu machen, entstand oder wurde bestimmt auch durch AMP und dessen Erfolg beeinflusst.
Die Integrationen in HA sind inzwischen auch schon gut geprüft bzw. konsolidiert, weil man sich an die Standards von HA halten muss, sonst kann man die Installation vergessen. Daher ist das Risko meiner Meinung nach nicht höher, wie andere opensource Software auf dem PC zu installieren.
Ein weiterer Punkt ist die Doku von allen Projekten: Oft wird nicht alles gelesen, korrekt gelesen oder teilweise falsch verstanden/interpretiert. Auch hier ein Beispiel: Es gab Anfang des Jahres eine Integration für Solar Forecast, die gab es extra für den Raspi oder stärkere Hardware, um die visuelle Darstellung zu meistern. Mehr Leistung ist daher nicht unüblich für schönere Animationen – ich hoffe, ihr versteht, wie ich das meine.
Wenn ich so einen Fall haben, dann fliegt die Integration halt wieder aus dem System. Persönlich wäre ich bei AddOns/Apps vorsichtiger, weil die als Docker tiefer ins System eingreifen können.
