Wie authentifiziert Home Assistant lokale und entfernte Sitzungen?

Home Assistant erstellt normalerweise kein separates Authentifizierungssystem für das LAN und den Fernzugriff. Der Benutzer authentifiziert sich gegenüber der Home-Assistant-Instanz, Anwendungen erhalten Token, und diese Token authentifizieren API- oder WebSocket-Sitzungen, unabhängig davon, ob die Anfrage über eine lokale URL, Home Assistant Cloud, ein VPN oder einen Reverse-Proxy eingeht.

Was sich bei der lokalen und entfernten Nutzung hauptsächlich ändert, ist der Netzwerkpfad: DNS, TLS, Proxying, Tunneling und öffentliche Erreichbarkeit. Es ist wichtig, Route und Identität getrennt zu betrachten, da eine fehlerhafte Remote-URL wie ein Anmeldeproblem wirken kann, selbst wenn die Anmeldedaten und Token des Home-Assistant-Benutzers weiterhin gültig sind.

Anwendungen autorisieren sich einmalig und erhalten Zugriffs- und Aktualisierungstoken

Der Anwendungsauthentifizierungsablauf von Home Assistant erzeugt einen Autorisierungscode und anschließend ein Zugriffstoken sowie ein Aktualisierungstoken. Das kurzlebige Zugriffstoken wird für API-Aufrufe verwendet; mit dem Aktualisierungstoken kann die Anwendung ein neues Zugriffstoken anfordern, ohne dass sich der Benutzer für jede Sitzung erneut anmelden muss.

Die aktuelle Dokumentation der Authentifizierungs-API beschreibt den Ablauf mit Autorisierung, Zugriffstoken, Aktualisierungstoken und HTTP-Bearer-Token. Wenn ein Zugriffstoken ungültig wird, gibt eine HTTP-API-Anfrage den Status 401 zurück, und der Client sollte das Token aktualisieren oder die Autorisierung erneut durchführen.

Damit wird die langfristige Autorisierung eines Benutzers von der kurzen Gültigkeitsdauer eines bestimmten API-Zugriffsberechtigungsnachweises getrennt.

WebSocket-Sitzungen werden authentifiziert, bevor die Live-Zustandsübertragung beginnt

Das Frontend und viele Anwendungen halten eine WebSocket-Verbindung offen, damit Home Assistant Zustands- und Ereignisaktualisierungen übertragen kann, ohne den Server für jede Änderung abfragen zu müssen.

Die WebSocket-API von Home Assistant definiert eine ausdrückliche Authentifizierungsphase: Der Server sendet auth_required, der Client gibt ein Zugriffstoken zurück, und erst die Antwort auth_ok versetzt die Verbindung in die Befehlsphase.

Ein ungültiges Token beendet diese Sitzung. Eine Netzwerk-Zeitüberschreitung, bevor der Authentifizierungsaustausch beginnt, ist ein anderer Fehler als eine Antwort auth_invalid, nachdem der Server das Token erhalten hat.

Beim Fernzugriff ändert sich, wie der Client Home Assistant erreicht

Standardmäßig ist Home Assistant lokal erreichbar. Der Fernzugriff kann über Home Assistant Cloud, ein VPN, einen Reverse-Proxy oder einen bewusst abgesicherten direkten Pfad bereitgestellt werden. Jede Option verändert Routing und Zugriffsmöglichkeiten, das Ziel bleibt jedoch dieselbe Home-Assistant-Instanz.

Der aktuelle Leitfaden zum Fernzugriff unterscheidet zwischen Cloud-, VPN-, Reverse-Proxy- und Portweiterleitungsrouten. Reverse-Proxys führen außerdem eine Vertrauensgrenze ein, da Home Assistant wissen muss, welcher Proxy weitergeleitete Anfrageinformationen bereitstellen darf.

Deshalb kann eine Änderung am Router, DNS, Zertifikat oder Proxy den Fernzugriff unterbrechen, ohne dass Benutzer neu angelegt werden müssen.

Featured

ZimaCube 2 Persönliche Cloud Home NAS

ZimaCube2

$799.00 - $2,499.00

Buy Now

Lokale und entfernte Sitzungen können unterschiedliche Netzwerkrisiken aufweisen

Eine LAN-Verbindung kann innerhalb eines vertrauenswürdigen Heimnetzwerks bleiben, während eine entfernte Verbindung das öffentliche Internet oder ein Overlay-Netzwerk durchquert. Ein sicherer Fernzugriff ergänzt das gleiche Home-Assistant-Kontosystem daher um Verschlüsselung, eine gehärtete Proxy-Konfiguration, VPN-Richtlinien und Multi-Faktor-Authentifizierung.

„Gleiches Authentifizierungsmodell“ bedeutet nicht „gleiche Netzwerkexposition“. Ein direkt öffentlich erreichbarer Port, ein verwalteter Cloud-Tunnel und ein privates VPN bieten unterschiedliche Angriffsflächen, selbst wenn alle drei letztlich Home-Assistant-Zugriffstoken übermitteln.

Der Sicherheitsleitfaden für den Fernzugriff von ZimaSpace beschreibt den umfassenderen Netzwerkrahmen für die Entscheidung, über welchen Pfad diese authentifizierten Sitzungen übertragen werden sollten.

Fehler bei der Route von Authentifizierungsfehlern unterscheiden

Das passende mentale Modell lautet: zuerst Identität, dann Sitzungstoken, danach Netzwerkroute. Lokale und entfernte Clients können über völlig unterschiedliche Netzwerkpfade eintreten, benötigen jedoch weiterhin eine gültige Home-Assistant-Autorisierung, sobald sie die Instanz erreichen.

FAQ

Erfordert der entfernte Zugriff auf Home Assistant ein anderes Passwort oder Konto?

Nein. Entfernte Clients authentifizieren sich normalerweise über dasselbe Home-Assistant-Benutzersystem. Die Methode für den Fernzugriff ändert, wie der Client die Instanz erreicht, nicht, welche Benutzerdatenbank das Konto verwaltet.

Sollte ich Token löschen, wenn nur die Remote-URL nicht mehr funktioniert?

Nicht als ersten Schritt. Stelle zunächst sicher, dass DNS, VPN, Proxy, TLS oder NAT Home Assistant erreichen. Setze Token nur zurück oder führe die Autorisierung erneut durch, wenn Home Assistant die Authentifizierung selbst ablehnt, nicht lediglich, weil der Netzwerkpfad nicht verfügbar ist.