App-Diebstahlschutz mit Goatse

• Der Autor hat das browserbasierte Wortspiel „Sqword“ entwickelt, das ohne Werbung eine stabile Nutzerbasis aufrechterhält.
• Der Autor entdeckte, dass Websites zur „Spiele-Aggregation“ Sqword in einem iFrame hosten und damit potenzielle Werbeeinnahmen abschöpfen.
• Das verärgerte den Autor, weil Sqword keine Einnahmequelle ist, sondern ein kostenloses Leidenschaftsprojekt ohne Werbung.
• Der Autor ist der Ansicht, dass eine App entweder kostenlos sein oder ihre Kosten klar angeben sollte und keine Zusatzverkäufe enthalten sollte.
• Anstatt eine Content-Security-Policy hinzuzufügen, entschied sich der Autor, beim Erkennen von Sqword in einem iFrame das Schockbild Goatse zusammen mit einer Nachricht anzuzeigen.
• Dem Autor gelang es, das Goatse-Bild erfolgreich auf mindestens acht Domains auszuliefern, die nicht zu seiner eigenen Domain gehören.
• Der Autor warnt, dass man, wenn man seine Website per iFrame auf fremden Seiten einbindet, keine Kontrolle über die Inhalte hat und diese jederzeit geändert werden können.

[GN⁺]

Meinungen auf Hacker News

• Vor langer Zeit betrieb ich aus geradezu töricht gutem Herzen einen Soundeffekt-Server, von dem jeder herunterladen konnte.
  Dann schienen einige Apps einfach direkt auf die Ressourcen zu verlinken, und wegen der zahllosen Trittbrettfahrer-Downloads begann meine Bandbreite in die Knie zu gehen.
  Nachdem ich die betreffende Ressource ersetzt hatte, hörte es bald auf, aber vorher bekam ich jede Menge unverschämte E-Mails voller Beschimpfungen, ich solle die Soundeffekte wiederherstellen.
  Das waren schöne Zeiten.

  • Ich finde es ziemlich erstaunlich, wenn recht große Marken oder Unternehmen einfach direkt auf Ressourcen verlinken.
    Einige indische ISPs sind berüchtigt dafür, einfach auf riesige Bilddateien von Drittanbieter-Websites zu verlinken und ihre 300 Millionen Kunden auf diese armen Seiten loszulassen.
    Sie sparen zwar Bandbreite, gehen aber auch das große Risiko ein, jemanden wütend zu machen, sodass dieses Asset durch etwas Schreckliches ersetzt wird.
    Ich glaube, solche Direktlinks oder Hotlinks entstehen meist nicht, um Geld zu sparen oder aus Bosheit, sondern eher aus gravierender Inkompetenz.
    Wir hatten auch das Problem, dass unsere Produktbilder gnadenlos gescraped wurden; mit einem Rate Limit hätten wir es vermutlich erlaubt oder gar nicht bemerkt.
    Normalerweise haben wir diese Scraper auf mehrere Gigabyte große Dateien oder auf lustige, völlig irrelevante Bilder geschickt. Wenn jemand dasselbe Biberbild 25.000-mal herunterladen will: nur zu.
    Es gab auch Fälle, in denen amateurhafte Suchmaschinen die Website derart bombardierten, dass es einfacher war, sämtlichen Traffic dieses Crawlers zu blockieren, statt Kontakt aufzunehmen und es abzustimmen.
    Was man auch über Google und Bing sagen mag: Ihre Crawler sind gut gebaut und verhalten sich höflich.
  • Du hast den Leuten selbstlos geholfen, einen neuen Musikstil zu schätzen und sich ihrer Wut zu stellen, und alles, was zurückkam, war Verachtung — was für eine dreiste Bande.
  • Ich liebe solche Geschichten. Ein hervorragender Gegenschlag.
    Das erinnert mich an den Fall, in dem irgendeine App ständig ein Schmetterlingsbild von Wikimedia bombardierte, weil es nicht aus dem Beispielcode entfernt worden war.
    Den genauen Artikel finde ich nicht, aber es war ein amüsanter und zugleich frustrierender Fall von Traffic-Missbrauch durch ahnungslose Entwickler.
    Edit: Es war kein Schmetterling, sondern ein Blumenfoto, und ich habe mit dem passenden Link geantwortet.
  • In der Flash-Ära habe ich mal etwas Ähnliches gemacht.
    Ich betrieb eine einseitige Website, auf der ein Button beim Drücken einen Ton abspielte — das war alles —, und Leute hotlinkten meine Flash-App, was zum Problem wurde.
    Mit derselben Methode habe ich auf ein anderes Applet umgeleitet, das einen lauten, schrecklichen Schrei abspielte.
  • In der Zeit des P2P-Filesharings habe ich Dateien so benannt und mit Metadaten versehen, dass sie wie seltene Live-Aufnahmen von Metallica und Songs anderer Metal-Bands aussahen, tatsächlich waren sie aber https://www.youtube.com/watch?v=hwK_WOXjfc0.
    Die Downloads waren enorm.

• Ich hatte auch einmal eine ähnliche Idee.
  Es gab zu viele Bots und Schwachstellen-Scanner, die /wp-admin.php auf meinem Blog aufriefen.
  Obwohl ich kein WordPress nutze, liefen die Access Logs mit 404ern voll, was nervte.
  Also habe ich für die tapferen, ähm, Penetrationstester eine kleine „Überraschung“ hinterlegt: https://www.thran.uk/wp-login.php

  • Die grundlegenden Sicherheitsmaßnahmen für eine einfache WordPress-Seite bestehen darin, wp-admin umzubenennen, den Namen des Admin-Kontos zu ändern und auch den SSH-Port auf etwas anderes zu legen.
    Schon das verwirrt 99 % der Login-Versuche und faulen Bots.
  • Das war der riskante Klick des Tages, aber ich bereue nichts.
  • Es gab Momente, in denen ich etwas Ähnliches ausrollen wollte; bisher halten mich nur Faulheit und wichtigere Prioritäten davon ab.
    Ich starre nur auf die nervigen Einträge in den Serverlogs, aber vielleicht mache ich es eines Tages.
  • Großartig. Ich werde diese Idee klauen.
  • Wirklich großartig. Mehr Leute sollten das tun.

• Ich habe früher bei einer kleinen Immobiliendaten-Aggregations-/Publishing-Softwarefirma mit großem Marktanteil gearbeitet.
  Ein bekannter Konkurrent begann, Deeplinks auf Bilder in unserem selbstgebauten Image-Resizing-Cache-Server zu setzen, und machte trotz mehrerer höflicher Bitten aufzuhören weiter.
  Bei Immobiliendaten macht Bild-Traffic den Großteil des Netzwerk-Traffics aus, und der Traffic, den sie uns stahlen, war erheblich und fraß unsere Bandbreite und Kosten auf.
  Also bauten wir heimlich Referrer-basierte Logik ein, die mit einer Wahrscheinlichkeit von 1/20 das Goatse.cx-Bild auslieferte.
  Es versteht sich von selbst, dass innerhalb von 48 Stunden keine Deeplink-Anfragen mehr von diesem Konkurrenten kamen.

• Ich weiß nicht, warum ich es überprüft habe, aber ja, es stimmt. Es funktioniert.
  Mindestens 6 Websites auf der ersten Seite der Google-Suchergebnisse rendern jetzt goatse.
  Zum Glück war bei mir der erste Link die Originalseite.

  • In den Top-Ergebnissen von Kagi erscheinen mindestens 12 verschiedene Domains. Meine armen Augen.
  • Neugier tötet die Katze, sagt man. Bestätigt.
  • Ich wollte dasselbe sagen.
    Wenn man nicht zu den heutigen „lucky 10,000“[0] gehört und goatse noch nie gesehen hat, muss man das wirklich nicht überprüfen :D
    [0] - https://xkcd.com/1053/
    Edit: Der Verweis auf die lucky 10k von xkcd war ein Witz, also beruhigt euch.
  • Habe es überprüft, stimmt. Zum Glück war mein Internet langsam.
  • Du hast mir den Tag versüßt

• Ich betreibe drei Wortspiele, und so etwas passiert bei allen drei Spielen.
  Es ist ärgerlich, aber ich würde niemals das tun, was sie gemacht haben. Das ist missbräuchlich gegenüber Leuten, die nach dem Spiel suchen und auf der falschen Website landen.
  Lehrer und Schüler haben sich bei mir gemeldet, dass sie mein Spiel jeden Tag gemeinsam im Klassenzimmer spielen; Eltern und Kinder spielen täglich zusammen, oder Erwachsene schicken sich jeden Tag ihre Ergebnisse per Textnachricht.
  Ich habe es als eine Erfahrung gestaltet, die nichts verlangt, und es nervt, wenn Leute es dann auf einer mit Werbung vollgestopften Seite spielen.
  Aber ihnen Goatse zu zeigen ist schlimmer.

  • Um mal den Advocatus Diaboli zu geben: Die Methode des Originalbeitrags ist eine Art Impfung gegen das werbebasierte Internet.
    Die Erfahrung kann unangenehm sein, aber sie vermittelt die richtige Botschaft sehr einprägsam.
  • Stimme zu. Es wäre viel einfacher, sauberer und sicherer gewesen, einfach eine Nachricht wie „Bitte spiele das offizielle Spiel auf whatever.com“ anzuzeigen.
  • Wenn man erkennt, dass ein Nutzer die Seite innerhalb eines iframe verwendet, kann man das Spiel leicht blockieren und eine Nachricht rendern, die auf die echte Website verweist.
    Welchen legitimen Grund sollte es dafür geben?
  • Bei meinem Wortspiel ist mir dasselbe passiert.
    Leute melden Bugs, und wenn ich nachsehe, stellt sich heraus, dass sie auf einer werbeverseuchten Klonseite sind.
    Bei meiner App ging es sogar mehrere Ebenen tief: Einer der App-Diebe hatte einen weiteren App-Dieb eingebettet.
    https://imgur.com/a/0qW0y1r
    Am nervigsten ist Google.
    Die Suchergebnisse sind heutzutage so schlecht, dass mein Spiel nicht ganz oben erscheint, obwohl jeden Tag Tausende Leute es spielen und in Social Media verlinken.
    Bei Bing, DDG und Kagi bin ich auf Platz 1.
    Diese Seiten verlinken sich gegenseitig, und Googles dummer Algorithmus mag das.
    Normalerweise verwenden sie kein iFrame, sondern proxien die gesamte Anfrage.
    Nachdem ich angefangen hatte, CloudFlare als CDN zu nutzen, konnte ich einige App-Diebe blockieren.
  • Die strengen Datenschutzeinstellungen in meinem Firefox scheinen Goatse zu blockieren. Vielleicht braucht es irgendwelche Cookies oder so.

• Ich bin ganz und gar kein Anwalt, aber aus Sorge, gegen Gesetze zu obszönen Inhalten zu verstoßen, würde ich so etwas nicht tun.
  In Großbritannien gibt es zum Beispiel ein Gesetz gegen Cyberflashing; wer mit der Absicht, Leid zu verursachen, auf irgendeinem Weg explizite Bilder verschickt, kann mit bis zu zwei Jahren Gefängnis bestraft werden.

  • Eine App zu stehlen ist okay, aber darauf zu reagieren ist illegal? Klingt genau nach Gesetz.
  • Und trotzdem lebt Goatse nach einem Vierteljahrhundert immer noch weiter.
  • Ich bin kein Anwalt, aber in den Gesetzbüchern gibt es jede Menge sehr weit gefasster Computerstrafgesetze.
    Trotzdem würde kein Staatsanwalt so einen Fall anklagen.
    Das liegt offensichtlich außerhalb des Zwecks eines Gesetzes, das unerwünschte Dickpics und gezielte Belästigung verhindern soll.
    Es wird sicher kein Auslieferungsfall nach Großbritannien oder in die VAE.
    Es lohnt sich nicht, sich über solche extremen Annahmen Sorgen zu machen.
    Wenn eine Bundesbehörde fest entschlossen wäre, einen Unschuldigen mit einem Scheinprozess zu ruinieren, gäbe es einfachere Wege.
    Sie könnten CSAM auf dem Server platzieren oder einen Informanten unter Druck setzen, Vergewaltigungsvorwürfe zu erheben. So wie sie es bei Assange getan haben.
    Realistisch gesehen ist die schlimmste Sanktion, mit der dieser Entwickler vernünftigerweise rechnen muss, dass die Domain abgeschaltet wird.
    Der ursprünglichen .cx-Domain ist genau das irgendwann passiert.
  • Umgekehrt könnten die Leute, die über ein iframe auf das Spiel zugreifen, wegen unbefugten Zugriffs auf Inhalte gegen den Computer Misuse Act verstoßen haben.
  • Der Autor ist nicht der Verbreiter dieses Bildes.

• Ich verstehe nicht, warum sie die Seiten nicht einfach öffentlich bloßgestellt und einen Link zur Originaldomain bereitgestellt haben.
  Etwa so: „Um Sqword zu spielen, besuche die Seite bitte direkt. Die Website, auf der du dich gerade befindest, schaltet ohne Zustimmung des Spieleentwicklers Werbung um das Originalspiel herum.“
  Wenn man es durch Goatse ersetzt, werden manche Leute denken: „Ich wollte Sqword spielen, und jetzt ist es Porno geworden“, und nie wieder spielen.

  • Nicht nur das: Technisch weniger versierte Endnutzer, zum Beispiel Kinder oder Großeltern, haben das Spiel wahrscheinlich auf einer mit Werbung überladenen Parasiten-Website gefunden.
    Das Goatse-Bild hilft solchen Nutzern nicht.
    Sie verstehen nicht, was es bedeuten soll, und hören wahrscheinlich einfach komplett auf.

• Keine Sorge. Der hier verlinkte Artikel enthält kein Bild, weder Goatse noch sonst etwas.

  • Zum Glück wurde er nicht innerhalb eines iframe gerendert.
  • Noch nicht ...
  • Aber der Artikel enthält eine Anleitung:
    Yesterday one of my collaborators googled "sqword" and to his surprise, there were tons of first-page results that weren't the sqword.com domain.
  • Danke. Hätte vorher warnen sollen.

• Stattdessen könnte man die Leute einfach auf sqword.com weiterleiten lassen: https://stackoverflow.com/questions/580669/redirect-parent-window-from-an-iframe-action

  • Das lässt sich leicht verhindern, wenn man iframe-Sandboxing aktiviert.

• Es ist wirklich erbärmlich, dass Google damit zufrieden ist, an solchen Diebesseiten zu verdienen.
  Die Suchergebnisse werden sie niemals reparieren. Schließlich ist Google derjenige, der im Namen der Betrüger Anzeigen verkauft.
  Das Monopol muss zerschlagen werden.

  • Selbst wenn man das Monopol zerschlägt, werden am Ende alle für ihre eigene Werbung genauso handeln.
    Und weil es dann Wettbewerb gibt, wird es legal sein.
    Lieber sollte man den Kapitalismus abschaffen.