보안 수정은 최신 GitHub 릴리스에만 제공합니다. 릴리스마다 Home Assistant 통합 버전과, 함께 배포하는 ESP32 펌웨어 버전이 제목에 있습니다(예: iOS ANCS 0.6.16 / Firmware 0.4.1).

HACS는 통합만 업데이트합니다. 펌웨어는 설치 페이지에서 따로 설치해야 합니다.

이 저장소의 Security 탭에 Report a vulnerability(비공개 보고)가 보이면 그것을 사용해 주세요. 보이지 않으면 공개 이슈에는 재현 방법이나 공격 방법을 적지 말고, 영향받는 구성 요소(통합 또는 펌웨어)와 비공개 연락 요청만 남겨 주세요. 메인테이너가 비공개 보안 권고(GitHub draft security advisory)를 만들어 보고자를 초대하고, 세부 내용은 그 안에서 받습니다.

보고에 넣어 주시면 좋은 내용:

• 통합 버전, 펌웨어 버전, 보드 종류(ESP32 계열 칩)
• Home Assistant 버전
• 민감한 값을 지운 최소 재현 순서
• 기대한 동작과 실제 동작

보고에 넣지 말아야 하는 값:

• Wi-Fi 비밀번호, MQTT 아이디·비밀번호, TLS CA·인증서·개인 키
• 기기에서 읽은 플래시나 NVS 백업(Wi-Fi·MQTT 비밀번호와 Bluetooth 페어링 키가 들어 있습니다)
• 실제 iPhone 알림 제목·본문, Home Assistant 토큰

• 설치를 쉽게 하려고 설정 AP는 정해진 규칙을 씁니다. 이름은 IOS-ANCS-SETUP-XXXXXX이고 비밀번호는 같은 끝 6자리의 소문자인 ancs-xxxxxx입니다.
• 설정 AP가 열리는 경우는 다음과 같습니다. 열려 있는 동안에는 근처에서 이 이름을 본 사람도 접속해 설정을 바꿀 수 있습니다.
  • 처음 설치할 때
  • Wi-Fi 연결이 45초 넘게 끊겼을 때
  • 한 번도 연결된 적이 없는 MQTT 설정(첫 설치, 오타)으로 연결에 실패할 때
  • 연결된 적이 있는 MQTT 설정을 브로커가 10분 동안 매번 거부할 때. 그사이 브로커에 닿지 않은 시도가 있으면 10분을 다시 셉니다.
  • BOOT 버튼을 3초 눌렀을 때(10분 동안)
• 펌웨어 0.4.0부터는 연결된 적이 있는 MQTT 설정이면 브로커가 꺼지거나 재시작하는 동안(예: Mosquitto 애드온 업데이트) 설정 AP를 열지 않고 재시도만 합니다. 0.3.9 이하는 이때도 설정 AP를 열었습니다. 0.3.9에서 업데이트한 기기는 0.4.0에서 MQTT에 처음 연결된 뒤부터 이 규칙이 적용됩니다.
• TLS 인증서 오류(브로커 인증서와 저장된 CA가 맞지 않는 경우)도 브로커에 닿지 않은 것으로 보고 재시도만 합니다. 브로커 주소, 포트, 인증서를 바꾼 뒤에는 BOOT 버튼을 3초 눌러 설정 포털에서 기기 설정을 고치세요.
• 연결된 적이 있는 MQTT 설정에서 서버 주소나 포트를 바꾸면 저장된 MQTT 비밀번호를 새 주소로 보내지 않습니다. 비밀번호를 다시 입력해야 저장됩니다. 한 번도 연결된 적이 없는 설정은 첫 설치를 쉽게 하려고 지금처럼 빈 칸이면 저장된 비밀번호를 씁니다.
• 이 확인은 MQTT 주소와 포트만 봅니다. TLS를 끈 MQTT에서는 설정 포털에 들어온 사람이 Wi-Fi를 자기 네트워크로 바꾸고 같은 브로커 주소로 응답하면 저장된 비밀번호를 받을 수 있습니다. TLS와 CA 인증서를 쓰면 기기가 인증서와 호스트 이름을 확인하므로 이런 가짜 브로커에는 연결하지 않습니다.
• iPhone 등록은 고정 PIN 123456을 쓰며, 등록 창이 열려 있을 때만 새 기기를 받습니다.
• 알림 제목, 본문, 앱 정보는 MQTT 브로커와 Home Assistant로 전달됩니다. 브로커 계정 권한을 이 기기의 토픽으로 제한하세요.
• 장치가 예상과 달리 오프라인으로 바뀌면 설정 포털에서 Wi-Fi와 MQTT 서버 주소가 바뀌지 않았는지 확인하세요.