Mencegah Pencurian Aplikasi dengan Goatse

• Penulis membuat 'Sqword', sebuah permainan kata berbasis browser yang mempertahankan basis pengguna yang stabil tanpa iklan.
• Penulis menemukan bahwa situs "agregasi game" meng-host Sqword di dalam iFrame dan mengambil potensi pendapatan iklan.
• Penulis marah karena Sqword bukan sumber penghasilan, melainkan proyek penuh gairah yang disediakan gratis tanpa iklan.
• Penulis percaya bahwa aplikasi harus gratis atau secara jelas memberi tahu biayanya, dan tidak boleh ada penjualan tambahan.
• Alih-alih menambahkan content security policy, penulis memutuskan bahwa jika Sqword mendeteksi dirinya berada di dalam iFrame, ia akan menampilkan gambar kejutan Goatse dan sebuah pesan.
• Penulis berhasil menyajikan gambar Goatse di setidaknya 8 domain yang bukan miliknya.
• Penulis memperingatkan bahwa jika sebuah situs selain situs miliknya menampilkan konten melalui iFrame, ia tidak memiliki kendali atas konten tersebut dan konten itu bisa berubah kapan saja.

[GN⁺]

Komentar Hacker News

• Dulu, dengan niat baik yang hampir bodoh, saya pernah menjalankan server efek suara yang bisa diunduh siapa saja
  Tapi tampaknya beberapa aplikasi menautkan langsung ke resource itu, dan bandwidth mulai hancur karena begitu banyak unduhan gratisan
  Setelah resource tersebut diganti, hal itu segera berhenti, tetapi sebelumnya saya menerima banyak sekali email lancang penuh makian yang menuntut agar efek suara dipulihkan
  Masa-masa yang sungguh menyenangkan

  • Cukup mengejutkan melihat brand atau perusahaan yang cukup besar begitu saja memasang tautan langsung ke resource
    Beberapa ISP India terkenal suka menautkan begitu saja ke file gambar besar di situs pihak ketiga, lalu membuat 300 juta pelanggan mereka menghajar situs malang itu
    Mereka mungkin menghemat bandwidth, tetapi juga mengambil risiko besar membuat seseorang marah lalu aset itu diganti menjadi sesuatu yang mengerikan
    Saya melihat tautan langsung atau hotlink semacam ini umumnya lebih dekat ke ketidakmampuan parah, bukan karena ingin menghemat uang atau berniat jahat
    Kami juga pernah punya masalah gambar produk di-scrape tanpa ampun; kalau ada rate limit, mungkin kami akan mengizinkannya atau tidak menyadarinya
    Biasanya kami mengarahkan scraper itu ke file berukuran beberapa gigabyte atau gambar lucu yang tidak relevan. Kalau mau mengunduh gambar berang-berang yang sama 25 ribu kali, silakan saja
    Pernah juga ada mesin pencari amatiran yang menghajar situs, sehingga lebih mudah memblokir semua traffic crawler itu daripada menghubungi mereka dan berkoordinasi
    Apa pun kritik orang terhadap Google dan Bing, crawler mereka dibuat dengan baik dan berperilaku sopan
  • Anda sudah secara altruistis membantu orang menikmati gaya musik baru dan menghadapi amarah mereka sendiri, tetapi yang kembali hanya penghinaan; sungguh kelompok yang tak tahu malu
  • Saya suka cerita seperti ini. Serangan balik yang hebat
    Ini mengingatkan saya pada kejadian sebuah aplikasi terus menghajar gambar kupu-kupu Wikimedia karena tidak menghapusnya dari kode contoh
    Saya tidak bisa menemukan tulisan persisnya, tetapi itu kasus penyalahgunaan traffic yang lucu sekaligus menyebalkan akibat para developer yang tidak tahu
    Sunting: ternyata bukan kupu-kupu, melainkan foto bunga, dan saya membalas dengan tautan terkait
  • Saya pernah melakukan hal serupa pada era Flash
    Saya mengelola situs satu halaman dengan satu tombol yang, kalau ditekan, memutar suara; hanya itu saja, tetapi orang-orang meng-hotlink aplikasi Flash saya dan itu jadi masalah
    Dengan trik yang sama, saya mengalihkannya ke applet lain yang memutar teriakan keras dan mengerikan
  • Pada masa berbagi file P2P, saya membagikan file dengan nama dan metadata yang membuatnya terlihat seperti rekaman live langka Metallica dan lagu-lagu band metal lain, tetapi sebenarnya isinya https://www.youtube.com/watch?v=hwK_WOXjfc0
    Jumlah unduhannya luar biasa banyak

• Saya juga pernah punya ide serupa
  Terlalu banyak bot atau pemindai kerentanan yang mencoba mengakses /wp-admin.php di blog saya
  Padahal saya tidak memakai WordPress, tetapi access log penuh 404 dan itu menyebalkan
  Jadi saya menaruh “kejutan” kecil untuk para, ehm, penetration tester pemberani: https://www.thran.uk/wp-login.php

  • Langkah keamanan dasar yang dipakai di situs WordPress sederhana adalah mengganti wp-admin dengan nama lain, mengganti nama akun admin, dan mengganti port SSH ke port lain
    Itu saja sudah membingungkan 99% percobaan login atau bot malas
  • Itu klik berbahaya hari ini, tetapi saya tidak menyesal
  • Ada beberapa momen ketika saya ingin menerapkan hal serupa, dan sejauh ini yang menahannya hanyalah kemalasan dan prioritas yang lebih tinggi
    Saya hanya menatap entri-entri menyebalkan di log server; mungkin suatu hari nanti akan saya lakukan
  • Hebat. Saya berniat mencuri ide ini
  • Benar-benar luar biasa. Lebih banyak orang seharusnya melakukan ini

• Dulu saya bekerja di sebuah perusahaan kecil pembuat software agregasi/publikasi data properti dengan pangsa pasar besar
  Kompetitor terkenal mulai melakukan deep link ke gambar di dalam server cache resizing gambar buatan kami sendiri, dan meski kami sudah beberapa kali meminta dengan sopan agar berhenti, mereka tetap melakukannya
  Dalam data properti, traffic gambar adalah sebagian besar traffic jaringan, dan traffic yang mereka curi cukup besar sehingga menggerus bandwidth dan biaya kami
  Jadi kami diam-diam memasukkan logika berbasis referrer yang dengan probabilitas 1/20 menyajikan gambar Goatse.cx
  Tak perlu dikatakan lagi, dalam 48 jam tidak ada lagi permintaan deep link dari kompetitor itu

• Entah kenapa saya mengeceknya, tetapi bagaimanapun memang benar. Ini berfungsi
  Setidaknya 6 situs di halaman pertama hasil Google kini me-render goatse
  Untungnya dalam kasus saya, tautan pertama adalah situs aslinya

  • Di hasil teratas Kagi, ada setidaknya 12 domain berbeda. Kasihan mata saya
  • Pepatah bahwa rasa ingin tahu membunuh kucing memang benar. Sudah saya cek
  • Saya datang untuk mengatakan hal yang sama
    Kalau Anda bukan salah satu dari “10 ribu orang beruntung”[0] hari ini yang belum pernah melihat goatse, tidak perlu repot-repot mengecek :D
    [0] - https://xkcd.com/1053/
    Sunting: referensi lucky 10k dari xkcd itu hanya lelucon, jadi tenang saja
  • Saya cek dan benar. Untung internet saya lambat
  • Berkat ini, hari saya jadi menyenangkan

• Saya mengelola tiga game kata, dan hal seperti ini terjadi pada ketiganya
  Menjengkelkan, tetapi saya tidak akan pernah memakai cara seperti yang mereka lakukan. Itu abusif terhadap orang yang mencari game lalu masuk ke situs yang salah
  Pernah ada guru dan murid yang menghubungi saya karena mereka memainkan game saya bersama-sama di kelas setiap hari, ada juga orang tua dan anak yang bermain bersama setiap hari, atau orang dewasa yang saling mengirim hasil lewat pesan setiap hari
  Saya membuatnya sebagai pengalaman yang tidak meminta apa pun, jadi menyebalkan ketika orang memainkannya di situs penuh iklan
  Namun menampilkan goatse kepada mereka lebih buruk

  • Kalau mau menjadi pembela setan, cara di postingan asli itu semacam vaksinasi terhadap internet berbasis iklan
    Pengalamannya mungkin tidak menyenangkan, tetapi menyampaikan pesan yang tepat dengan cara yang sangat mudah diingat
  • Setuju. Akan jauh lebih mudah, bersih, dan aman kalau cukup menampilkan pesan “silakan mainkan game resmi di whatever.com”
  • Jika mendeteksi pengguna memakai situs di dalam iframe, Anda bisa dengan mudah merender pesan yang memblokir game dan mengarahkan mereka ke situs asli
    Alasan sah apa yang mungkin ada untuk hal seperti itu?
  • Hal yang sama terjadi juga pada game kata saya
    Orang melaporkan bug, lalu ketika saya cek ternyata mereka berada di situs kloning yang penuh iklan
    Di aplikasi saya, kasusnya sampai beberapa lapis; salah satu pencuri aplikasi ternyata meng-embed pencuri aplikasi lain
    https://imgur.com/a/0qW0y1r
    Yang paling menjengkelkan adalah Google
    Hasil pencarian sekarang sangat buruk sehingga meskipun ribuan orang memainkan game saya setiap hari dan menautkannya di media sosial, Google tetap tidak bisa menempatkan game saya di posisi teratas
    Di Bing, DDG, dan Kagi, saya peringkat 1
    Situs-situs ini saling menautkan, dan algoritme bodoh Google menyukainya
    Biasanya mereka tidak memakai iFrame, melainkan mem-proxy seluruh request
    Setelah mulai memakai CloudFlare sebagai CDN, saya berhasil memblokir beberapa pencuri aplikasi
  • Sepertinya pengaturan privasi ketat di Firefox saya memblokir goatse. Mungkin butuh sesuatu seperti cookie

• Saya sama sekali bukan pengacara, tetapi saya tidak akan melakukan hal seperti ini karena khawatir terkena undang-undang terkait konten cabul
  Misalnya di Inggris ada hukum cyberflashing; mengirim gambar eksplisit dengan cara apa pun dengan niat menimbulkan penderitaan bisa dihukum penjara 2 tahun

  • Mencuri aplikasi boleh, tetapi meresponsnya ilegal? Kedengarannya memang seperti hukum
  • Meski begitu, Goatse masih tetap hidup setelah seperempat abad
  • Saya bukan pengacara, tetapi di kitab hukum ada berbagai macam pasal kejahatan komputer yang sangat luas
    Namun tidak ada jaksa yang akan menuntut kasus seperti ini
    Ini jelas melenceng dari tujuan undang-undang yang dibuat untuk mencegah foto kelamin yang tidak diinginkan dan pelecehan yang ditargetkan
    Tidak mungkin juga sampai menjadi dasar ekstradisi ke Inggris atau UEA
    Tidak ada gunanya mencemaskan skenario ekstrem seperti ini
    Jika lembaga investigasi federal sudah bertekad menghancurkan orang tak bersalah lewat pengadilan abal-abal, ada cara yang lebih mudah
    Mereka bisa menanam CSAM di server, atau menekan informan agar menuduhnya melakukan kekerasan seksual. Seperti yang mereka lakukan pada Assange
    Secara realistis, sanksi terburuk yang secara masuk akal bisa diperkirakan developer ini hanyalah domainnya diturunkan
    Domain .cx aslinya pun pada akhirnya begitu
  • Sebaliknya, orang yang mengakses game melalui iframe mungkin justru melanggar Computer Misuse Act karena mengakses konten tanpa izin
  • Penulis bukan distributor gambar itu

• Saya tidak mengerti kenapa mereka tidak sekadar mengekspos situs-situs itu secara publik dan memberikan tautan ke domain asli
  Bisa saja dengan pesan seperti, “Untuk memainkan Sqword, silakan kunjungi langsung. Situs yang sedang Anda kunjungi menempelkan iklan di sekitar game asli tanpa persetujuan pembuat game”
  Kalau diganti dengan goatse, sebagian orang akan berpikir “Saya mau main Sqword kok malah jadi porno” dan tidak akan pernah bermain lagi

  • Bukan cuma itu, kemungkinan besar pengguna akhir yang tidak akrab dengan teknologi, misalnya anak-anak atau kakek-nenek/nenek, menemukan game itu di situs parasit yang penuh iklan
    Gambar goatse tidak membantu pengguna seperti itu
    Mereka tidak akan mengerti maksudnya dan kemungkinan besar akan benar-benar berhenti

• Tenang saja. Artikel yang ditautkan di sini tidak berisi gambar apa pun, baik goatse maupun yang lain

  • Untungnya tidak dirender di dalam iframe
  • Untuk saat ini...
  • Tapi ada petunjuk di dalam artikelnya
    Yesterday one of my collaborators googled "sqword" and to his surprise, there were tons of first-page results that weren't the sqword.com domain.
  • Terima kasih. Seharusnya diberi peringatan sebelumnya

• Sebagai gantinya, mereka juga bisa membuat orang langsung berpindah ke sqword.com: https://stackoverflow.com/questions/580669/redirect-parent-window-from-an-iframe-action

  • Mudah diblokir jika iframe sandboxing diaktifkan

• Sangat menyedihkan bahwa Google puas meraup uang dari situs-situs pencuri seperti ini
  Mereka tidak akan pernah memperbaiki hasil pencarian. Karena pihak yang menjual iklan atas nama para penipu itu adalah Google sendiri
  Monopoli harus dipecah

  • Kalaupun monopoli dipecah, pada akhirnya semuanya akan bertindak sama demi iklan mereka sendiri
    Selain itu, itu akan menjadi legal dengan alasan ada persaingan
    Lebih baik hapuskan kapitalisme