Cifrado Home Assistant Moderno

Cifrado Home Assistant Moderno: Fortaleciendo la Seguridad de tus Copias de Seguridad

Las copias de seguridad son esas características silenciosas pero poderosas: cuando funcionan, no las notas, pero cuando las necesitas, lo son todo. Hemos evolucionado el formato de copia de seguridad integrado de Home Assistant a lo largo de los años para mantenerlo seguro, especialmente al realizar copias de seguridad en ubicaciones remotas. A medida que la criptografía moderna ha avanzado, necesitábamos construir un sistema a la altura. SecureTar v3 es una biblioteca especialmente diseñada para crear y leer copias de seguridad de Home Assistant protegidas con contraseña, utilizando criptografía moderna y configuraciones predeterminadas más seguras y robustas.

Para asegurarnos de que lo hacemos correctamente, encargamos a Trail of Bits, una firma líder en ingeniería de seguridad, que auditara de forma independiente nuestro trabajo. Su revisión encontró que SecureTar v3 sigue las mejores prácticas para algoritmos de seguridad centrales, como el hashing y el cifrado. También identificaron tres áreas de mejora, que confirmaron haber resuelto en su revisión de seguimiento. Esta auditoría fue financiada por la Open Home Foundation para que pudiéramos invertir en mejoras que protejan la privacidad, la seguridad y el control de los usuarios.

Tus copias de seguridad comenzarán a utilizar este nuevo cifrado automáticamente, a partir del lanzamiento de la versión 2026.4 el 1 de abril de 2026. Para obtener más detalles técnicos, sigue leyendo…

Un Vistazo a la Historia del Cifrado de Backups en Home Assistant

Las copias de seguridad de Home Assistant siempre han estado cifradas por defecto, utilizando una clave de alta entropía para garantizar la seguridad de tus datos. En los inicios, los formatos iniciales (v1 y v2) empleaban la misma variante de cifrado AES-128, junto con una derivación de clave sencilla. Sam Gleske nos alertó sobre la necesidad de actualizar el método de derivación de claves para que cumpliera con los estándares modernos.

Es importante destacar un punto crucial: el generador de contraseñas de Home Assistant produce de por sí contraseñas largas y de alta entropía. Esto significa que las copias de seguridad creadas previamente eran intrínsecamente difíciles de romper si se utilizaba esta función. Para ilustrarlo, calculamos que un ataque de fuerza bruta sobre las contraseñas de estas copias de seguridad requeriría más tiempo que la esperanza de vida promedio de una persona para tener éxito.

Sin embargo, dado que existía la posibilidad de que usuarios avanzados generaran manualmente contraseñas menos seguras, y reconociendo que las primitivas criptográficas internas de la biblioteca podían ser mejoradas, decidimos rediseñar SecureTar para incorporar algoritmos de vanguardia y validar este rediseño mediante una auditoría externa.

Las Transformaciones Clave en SecureTar v3 y sus Razones

Los objetivos de esta reestructuración eran claros y concisos: seleccionar algoritmos modernos y bien estudiados, evitar errores de diseño que pudieran comprometer la confidencialidad o la integridad, y establecer la versión v3 como el estándar seguro por defecto.

Los puntos más destacados del diseño de SecureTar v3 incluyen:

• Derivación de Clave Moderna: SecureTar v3 adopta Argon2id para la derivación de claves basada en contraseñas. Argon2id es un algoritmo intensivo en memoria que encarece considerablemente los ataques de fuerza bruta.
• Cifrado y Autenticación de Vanguardia: La provisión de cifrado corre a cargo de la API secretstream de libsodium (accesible en Python a través de PyNaCl), que implementa una robusta construcción de cifrado autenticado en streaming utilizando XChaCha20-Poly1305. Esta combinación asegura tanto la confidencialidad (nadie puede leer tus datos) como la integridad/autenticación (nadie puede manipularlos sin ser detectado).
• Configuraciones Predeterminadas Más Seguras y Análisis Mejorado: Hemos establecido configuraciones predeterminadas más seguras para que las nuevas copias de seguridad utilicen la versión v3. Además, hemos corregido la lógica de análisis para evitar el tratamiento silencioso de datos corruptos como copias de seguridad heredadas válidas.

La elección de estas tecnologías se realizó con la firme intención de garantizar que SecureTar sea resistente a los ataques modernos y más fácil de comprender desde una perspectiva de seguridad.

Auditoría Independiente Realizada por Trail of Bits

Una vez implementado SecureTar v3, procedimos a encargar a Trail of Bits la realización de una evaluación de seguridad enfocada y una revisión de las correcciones. Los hallazgos de esta auditoría fueron los siguientes:

1. Canal Lateral de Tiempos en una Comparación de Validación (Informacional): La auditoría señaló un problema menor en el código relacionado con la forma en que verificábamos una clave de validación. No representaba un riesgo de seguridad (el valor se almacena de forma abierta en la cabecera del archivo), pero actualizamos la verificación a una forma más segura para que las herramientas de seguridad dejen de señalarlo.
2. Fallo Inseguro al Protocolo de Versión Heredada (Informacional): La lógica de análisis de cabeceras podía ser confundida por datos corruptos; actualizamos la lógica para que las cabeceras corruptas generen un error en lugar de recurrir silenciosamente a una versión anterior.
3. Riesgo en la Cadena de Suministro en el Flujo de Trabajo de GitHub Actions (Medio): Los pasos del flujo de trabajo no estaban anclados a hashes de confirmación específicos y utilizaban permisos amplios, lo que abría el proceso de compilación a posibles ataques de cadena de suministro. Hemos anclado las acciones a hashes de confirmación específicos y hemos restringido los permisos.

Es crucial destacar que la revisión posterior a la corrección por parte de Trail of Bits confirmó que las tres incidencias fueron resueltas. Esto demuestra no solo la adopción de criptografía moderna, sino también el cierre de las brechas expuestas por la auditoría.

Puedes consultar más detalles sobre la auditoría y las correcciones en el informe de Trail of Bits.

Tu Contribución Apoya la Mejora Continua de la Seguridad

El trabajo de seguridad, especialmente las auditorías externas y la ingeniería especializada, conlleva costes económicos. La Open Home Foundation proporciona la estructura y la financiación necesarias para llevar a cabo estas iniciativas. Estos fondos provienen, en parte, de las personas que adquieren productos oficiales de Home Assistant o ESPHome a través de los socios comerciales de la fundación, y de la mercadería de la Tienda de la Open Home Foundation. ¡Agradecemos enormemente tu apoyo!

Gracias a ello, hemos podido contratar expertos, invertir tiempo en ingeniería y validar las correcciones. Esta inversión protege las copias de seguridad de los usuarios (que a menudo contienen configuraciones, contraseñas y claves API, integraciones y automatizaciones) y mantiene a Home Assistant como una plataforma confiable y segura para todos.

Próximos Pasos Recomendados para una Seguridad Óptima

• Asegúrate de que Home Assistant esté actualizado a la última versión. El lanzamiento 2026.4 incluye SecureTar v3.
• Cualquier copia de seguridad cifrada creada después de actualizar a la versión 2026.4 utilizará el formato mejorado de v3.
• Las copias de seguridad existentes siguen siendo seguras, ya que la contraseña generada por Home Assistant es robusta. No obstante, para una seguridad adicional, puedes regenerar la clave de cifrado en la configuración de tus copias de seguridad (utiliza la opción Cambiar clave de cifrado en la parte inferior de la página de configuración de copias de seguridad).
• Si utilizas el comando CLI ha backup, o las acciones hassio.backup_full o hassio.backup_partial para crear copias de seguridad, y has utilizado una contraseña corta o de baja entropía, deberías elegir una nueva contraseña.

Resumen Técnico para los Más Curiosos

• Derivación de Clave: Argon2id (intensivo en memoria), utilizando sub-clases separadas para cada parte de la copia de seguridad.
• Cifrado / AEAD: XChaCha20-Poly1305 a través de libsodium secretstream (PyNaCl) con tamaño de clave de 256 bits. AEAD significa que tus datos no solo están cifrados, sino también autenticados (validando que los datos no han sido alterados o manipulados).
• Auditoría: Trail of Bits: 3 hallazgos (2 informacionales, 1 medio), todos resueltos.
• Fortalecimiento de la Compilación: GitHub Actions anclado a SHAs de confirmación y permisos más restrictivos para reducir el riesgo de la cadena de suministro.

¿Buscas más información? Consulta el repositorio de SecureTar en GitHub.

Una Nota Final sobre la Seguridad Iterativa

La seguridad es un proceso iterativo, y este último trabajo ha ayudado a construir una base más sólida para las copias de seguridad de Home Assistant, y un camino más claro para mantener esa seguridad a lo largo del tiempo.

Si deseas leer sobre esfuerzos pasados similares, consulta algunas de nuestras otras publicaciones:

Al mantener Home Assistant seguro, hacemos que la plataforma sea más segura, confiable y agradable para toda la comunidad. Gracias.