Ce que le hacker m’a volé

• myNoise est un projet personnel lancé avec l’ambition de créer, dans un monde chaotique, un espace Internet positif qu’on aurait presque envie de visiter en personne
• Le site a récemment subi des centaines de milliers de tentatives d’attaque, notamment des essais d’injection de code et des méthodes visant à épuiser les ressources du serveur

Le déroulement et l’impact de l’attaque

• Comme myNoise repose sur une architecture développée sur mesure plutôt que sur un CMS existant, les attaques par injection de code ont pu être bloquées
• Mais le hacker a changé de stratégie et s’est mis à télécharger de manière répétée et sans but les fichiers audio afin de consommer la bande passante et le trafic du serveur
• L’exploitant s’efforce depuis longtemps de tenir compte de l’environnement, notamment en plantant des arbres chaque année pour compenser la consommation d’énergie des visiteurs, mais ce type d’attaque laisse un sentiment de vide, comme si ces efforts étaient tournés en dérision

Le déséquilibre entre destruction et création

• Cette expérience rappelle une fois de plus la loi de l’entropie : « il faut toujours moins d’énergie pour détruire quelque chose que pour le créer »
• Elle fait aussi ressentir à la fois le découragement et la tristesse face à la différence entre la destruction du corps causée par la maladie et la difficulté de la guérison, et les dommages provoqués délibérément par autrui
• Cette destruction ne se limite pas à une simple attaque de serveur : elle vole aussi de l’énergie, du temps et jusqu’à la sérénité mentale

Le sens des petits changements positifs

• L’auteur repense récemment à l’expérience où sa famille a pris soin d’un pigeonneau blessé tombé du nid avant de le relâcher en bonne santé dans la nature
• Ce genre de petites actions positives aide à ressentir le sens de la vie
• Mais il demeure toujours l’angoisse qu’il puisse exister quelqu’un pour entraver ces efforts bienveillants

Conclusion et détermination

• Avec cette attaque, le serveur ne s’est pas effondré, mais j’ai l’impression qu’on m’a volé mon temps, mon énergie et le peu de paix qu’il me restait
• Le temps qui devait servir à créer de nouveaux sons, à aménager un environnement paisible et à produire un changement positif a été consumé par la défense, la remise en état et la préparation de contre-mesures
• Malgré cela, l’auteur exprime sa volonté de continuer à planter des arbres, à créer des sons et à prendre soin des êtres vivants qui ont besoin d’aide, afin de poursuivre ces changements positifs
• Enfin, le texte se conclut sur ce message : « le monde n’a de sens que s’il y a davantage de gens qui créent ; détruire n’a aucun sens »

[GN⁺]

Commentaire sur Hacker News

• J’ai récemment traversé une période difficile à cause du bruit, et le fait de diffuser un bruit blanc correctement égalisé sur des enceintes m’a vraiment aidé à préserver un peu de stabilité mentale et à dormir. L’app mynoise n’a rien de tape-à-l’œil, mais elle fournit exactement les fonctions nécessaires et fonctionne de manière fiable sur plusieurs appareils. Je ne savais rien du développeur au moment de l’achat, mais cette histoire a donné un visage au service. Quand on subit une attaque, cela peut aussi créer un traumatisme supplémentaire en ébranlant la confiance qu’on a envers les autres. Et comme cela peut se transformer en attitude défensive, agressive, ou en rupture de confiance, je pense qu’au fond, ce qui compte vraiment pour briser ce cycle, c’est la santé mentale à long terme, à l’échelle des générations

  • J’ai moi aussi subi directement un problème de bruit prolongé avec le locataire du dessus. Même en me plaignant au bureau, je n’ai eu droit qu’à de la compassion, sans aucune mesure concrète. Du coup, j’avais créé un raccourci iOS qui envoyait automatiquement un e-mail de plainte au propriétaire quand je disais à Siri « Loud neighbors ». Quand des e-mails partaient 3 à 4 fois par semaine, ça s’est révélé assez efficace. Renvoyer simplement les visiteurs du bureau et devoir répondre à chaque e-mail, ce n’est pas du tout le même niveau de contrainte. Bien sûr, ça ne s’applique pas forcément à toutes les situations, mais je compatis sincèrement avec la détresse causée par le bruit, et j’espère que tout le monde pourra retrouver un quotidien paisible

• Le récit bien réel de hackers qui ont pratiquement fait disparaître https://glslsandbox.com. Le service est à l’arrêt depuis un an et demi à cause des attaques de spam des hackers. Dans mon cas, comme le service est gratuit, je le cache derrière Cloudflare en attendant, mais la logique typique des hackers du genre « si ta sécurité est vulnérable, c’est ta faute » m’agace toujours profondément. Ce n’est pas parce qu’on peut casser une fenêtre, une porte, voire un corps, que cela devient une excuse pour dire qu’il est « normal » de le faire. Bien sûr, je reconnais aussi qu’il est presque impossible de débarrasser le monde de ce genre de personnes

  • Je suis vraiment d’accord avec la dernière partie. Je mesure 1,90 m, pèse 118 kg, j’ai fait plusieurs Ironman, du sport, de l’escalade, de la musculation, de la chasse, et j’ai même reçu un entraînement au combat. Honnêtement, je pourrais tuer à mains nues la plupart des gens autour de moi, mais je ne vis pas comme ça. Ce n’est pas ça, la vie. Pourtant, cette logique absurde est appliquée partout, aux voitures, aux téléphones, aux projets des autres. Si quelqu’un me frappait puis se moquait en disant « ta mère aurait dû coucher avec un homme plus costaud », ce serait totalement grotesque. Bref, je partage aussi ce sentiment d’aberration face à cette réalité
• 1. Il n’y a pas besoin de se laisser trop emporter émotionnellement par ce type d’attaque. La personne en face ne s’intéresse même pas à mon identité. 2. Je pense que les limiteurs de débit sont devenus indispensables quand on exploite un serveur. Les simples tentatives de collecte d’informations dépassent désormais le stade de l’impolitesse. Avec des outils comme fail2ban, on peut bloquer facilement les tentatives de connexion basiques ou les scans de vulnérabilités. Je me demande si quelqu’un connaît de bons outils de type fail2ban ou de limitation de débit pour les serveurs web
  • Mettre Cloudflare (offre gratuite) devant le site règle proprement le problème

• Je parle en tant que pentester / bug bounty hunter. C’est agaçant pour le propriétaire, mais pour moi, ça ressemble à du bruit internet ordinaire, ou à quelqu’un qui a lancé une attaque automatisée avec burp suite. On vit dans un monde où les attaques ciblant des outils commerciaux fondés sur des bibliothèques ou des offres SaaS sont la norme par défaut. L’ensemble d’Internet est scanné en permanence, et les nouveaux sites se retrouvent face à un grand nombre d’attaques automatisées. C’est une réalité injuste, mais c’est une réalité que tout le monde subit, donc personnellement je ne pense pas qu’il faille trop s’en préoccuper

  • Personnellement, je n’ai pas de rancune envers un requin qui m’attaque, mais le traumatisme, lui, est bien réel. Et un requin n’est pas non plus une créature fabriquée par des hackers au comportement éthiquement douteux. Je trouve très grossier de balayer ainsi le traumatisme de cette personne

• Le combat inéquitable entre les gentils et les méchants est un problème sans solution depuis des millénaires. On a proposé toutes sortes de réponses — « les tuer », « leur pardonner », « les rééduquer / les améliorer » — mais aucune ne semble vraiment avoir marché. Parfois, j’imagine qu’il faudrait simplement sélectionner les mauvaises personnes et les envoyer sur une autre planète pour qu’elles ne puissent plus nuire. Je plaisante même en me demandant si la Terre n’a pas déjà été créée comme ça

  • En réalité, on a déjà essayé de les « envoyer sur une autre planète ». On a commencé par les désinfecteurs de téléphones, les coiffeurs et les cadres de la pub

  • Je me souviens avoir lu un article sur un cas où le protocole http était utilisé en manipulant spécialement du contenu gzip pour faire gonfler énormément les données côté réception. Ce genre de technique pourrait être efficace contre les crawlers, puisque la plupart d’entre eux ont des limites d’espace disque par instance

  • On pourrait aussi en tirer la conclusion humoristique que « les mauvaises personnes, c’est nous tous »

  • Je me demande si quelqu’un a déjà vraiment essayé la solution consistant à « tuer » les hackers malveillants

• Depuis que j’ai découvert le site mynoise, je l’apprécie constamment. Avec la densification récente des espaces de bureau, son utilité est devenue encore plus grande. Le nouveau redesign de l’app est aussi excellent. Même un petit don vaut largement la peine pour accéder à cette immense bibliothèque sonore. La grande majorité du contenu est le résultat du travail minutieux du développeur lui-même, qui enregistre sur le terrain, mixe, puis découpe les sons en bandes d’égalisation. C’est lui qui a créé ces contenus, qu’il s’agisse des côtes irlandaises, de canaux souterrains ou de différentes forêts

• En tant que membre à vie, j’aime mynoise.net depuis des années. Je n’ai rien trouvé de mieux pour me concentrer et bloquer les bruits extérieurs. J’ai essayé brain.fm et YouTube Music, mais je finis toujours par revenir à ce site. C’est parce qu’il est plus soigné et plus efficace pour moi

• Il m’est arrivé de posséder des domaines pendant longtemps, puis de m’en faire voler quelques-uns récemment. Ce sont des domaines bon marché qui n’ont de sens que pour moi, alors je me demande vraiment qui se donne cette peine

  • Les nouveaux domaines n’inspirent pas autant confiance aux moteurs de recherche que les anciens. C’est pour cela qu’il existe un marché des domaines volés, et la même logique vaut aussi pour les comptes sur les réseaux sociaux

  • Les vols de domaines font un peu peur. Dans mon cas, je me demande surtout comment ils ont été volés

• J’ai un peu l’impression qu’il faudrait relativiser. Les gens qui fournissent un service sur l’Internet ouvert voient ce genre de logs en permanence. Ce sont presque toujours des attaques automatisées. C’est dans la nature même de l’architecture d’Internet

  • Le fait que ce soit courant ne veut pas dire que ce soit acceptable, et je comprends tout à fait qu’on le vive mal. Une approche du type « il faut te calmer » me semble dangereuse, parce qu’elle peut servir à justifier la discrimination et l’impolitesse

  • Au contraire, plus ce genre de chose est fréquent, plus je trouve cela triste

• Je me demande qui peut bien vouloir attaquer une personne aussi bienveillante

  • Cela rappelle une fois de plus le principe selon lequel les personnes blessées blessent les autres. Il existe aussi des gens qui veulent simplement abîmer le monde. Et si je réagis de manière excessive quand quelqu’un se comporte mal avec moi, cela peut servir à justifier ce comportement et à le répéter encore. Il faut garder des limites claires, bien sûr, sans pour autant répondre de manière plus agressive que nécessaire. La personne en face essaie peut-être, elle aussi, de rendre le monde meilleur. Ce type d’effort mérite des applaudissements

  • Ce n’est pas une attaque dirigée contre une personne en particulier. D’après mon expérience d’exploitation de sites, Internet est un no man’s land parcouru par toutes sortes de crawlers IA, de scripts automatisés et d’attaquants à la recherche de vulnérabilités

  • C’était peut-être simplement une entreprise d’IA qui collectait des données pour l’entraînement, avec une option de répétition cochée dans son outil d’automatisation

  • Avec le recul de longues années sur Internet, il existe des gens profondément perturbés qui veulent casser n’importe quoi simplement parce qu’ils le peuvent. C’est peut-être pour attirer l’attention, peut-être par simple pulsion destructrice, mais en réalité la question « qu’est-ce que la victime a bien pu faire ? » n’a presque aucun sens. Les attaquants ne se la posent pratiquement jamais eux-mêmes. Autrefois, ce genre de personnes était mis à l’écart par la société et avait peu de moyens de nuire, mais Internet leur offre aujourd’hui un outil d’attaque mondial et une quasi-immunité face à toute responsabilité.