Show HN: ssh ssh.place

Artigo original ↗ Discussão no Hacker News ↗

Um experimento de canvas multiplayer de pixel-art acessível via SSH (`ssh ssh.place`) está chamando atenção como parte de uma tendência mais ampla de “SSH apps” divertidos, junto com projetos como jogos em terminal e shells compartilhados. Os comentaristas gostam da interface nostálgica e de baixo atrito do terminal, mas levantam preocupações sérias de segurança, incluindo agent forwarding, vulnerabilidades de escape em terminais, falta de uma PKI forte e os riscos de se conectar a servidores SSH arbitrários. O jovem criador compartilha detalhes de implementação e o código open source, enquanto outros criticam o texto de marketing gerado por IA e apontam problemas familiares como bots, paletas de cores e dinâmicas de coordenação lembrando o r/place do Reddit.

Conceito do projeto e apps SSH relacionados

  • Canvas colaborativo de pixel-art via SSH; os usuários apreciam a novidade dos “SSH apps”.
  • Vários serviços SSH semelhantes ou tangenciais são mencionados (jogos, BBS compartilhado, apps de “paint” e “ski”, caixa Postgres compartilhada apenas via IPv6, VPS-as-a-service via SSH), mostrando um pequeno ecossistema de experiências baseadas em SSH.
  • Alguns gostariam de um protocolo “WebSSH” padronizado, semelhante a WebSockets / IRCv3.

Experiência do usuário e problemas técnicos

  • Há relatos de problemas de visibilidade do cursor quando ele é colocado em células que já tinham cor; o mantenedor promete uma correção.
  • Alguns terminais (por exemplo, kitty, Ghostty, o padrão do Ubuntu WSL) causam travamentos ou desconexões, ou renderizam as cores mal / de forma idêntica.
  • Usuários compartilham comandos para inspecionar e ajustar paletas de cores do terminal; pedem a adição de laranja ao canvas.
  • Um projeto que usava DNS apenas via IPv6 teve problemas iniciais de firewall/DNS que depois foram corrigidos.
  • Sessões “parked” são esclarecidas como suspensas com armazenamento e processos preservados.

Dinâmicas sociais e bots

  • Usuários tentam organizar facções (por exemplo, uma “moldura roxa”) e debatem se a coordenação deveria acontecer no HN, no site do projeto ou permanecer orgânica.
  • Fazem comparações com o r/place: a coordenação social é vista como algo fundamental, mas bots e multiboxing já tiram a graça para alguns.
  • O criador reconhece os bots como inevitáveis em um serviço público gratuito e menciona medidas básicas anti-bot (cooldowns vinculados à chave SSH, IP, dispositivo e outros fatores), com planos de melhorar se o tráfego aumentar.

Discussão de segurança

  • Vários comentários questionam se é seguro fazer SSH em servidores aleatórios, levantando:
    • SSH agent forwarding e X11 forwarding vazando credenciais.
    • Vulnerabilidades em emuladores de terminal via sequências de escape (CVEs recentes citados, incluindo iTerm2 e libssh2).
    • Possibilidade de servidores maliciosos explorarem bugs do cliente SSH para RCE.
  • Outros argumentam que o risco prático é baixo em comparação com executar binários aleatórios ou navegar na web, citando a base de código relativamente pequena e focada em segurança do OpenSSH.
  • Há debate sobre o SSH não ter uma PKI global e ser vulnerável durante TOFU; SSHFP, DNSSEC e CAs de SSH são mencionados, mas descritos como raramente implantados no mundo real.
  • Alguns temem que o SSH esteja sendo reaproveitado para fluxos de pagamento e contratação sem atenção suficiente a esses riscos.

Detalhes de implementação e conselhos

  • O criador é um adolescente construindo por diversão, inspirado por jogos SSH anteriores.
  • Stack: wish, bubbletea e lipgloss da Charm; totalmente open source no GitHub com GitHub Actions para deploy.
  • Para quem quer construir produtos parecidos, a sugestão é escolher algo divertido ou útil que funcione bem em um terminal e aproveitar uma UX simples baseada em SSH (por exemplo, “ssh host”).

Copywriting e texto gerado por IA

  • Vários comentários criticam o texto do site do projeto por soar genérico, em “estilo LLM” (por exemplo, fragmentos impactantes, construções do tipo “sem X, sem Y”), chamando-o de clichê e pouco atraente apesar de gostarem do projeto em si.
  • A discussão explora por que LLMs convergem para essa voz:
    • Possibilidade de vir dos dados de treinamento (conteúdo estilo Medium/LinkedIn).
    • Afirmação mais forte de que o RLHF empurra explicitamente uma “voz de manchete” clickbait porque ela pontua bem para a maioria dos usuários, mesmo que uma minoria ache irritante.
  • Alguns observam que a saída de LLM parece especialmente desgastada porque uma única “voz” aparece em todo lugar, enquanto escritores humanos diversificam e se cansam dos próprios clichês.
  • O criador acolhe o feedback e observa que o objetivo era atrair não-hackers e enfatizar como é fácil fazer login.