Spotifuck

Spotifuck — это оболочка для бесплатного веб-плеера Spotify, open.spotify.com, которая позволяет использовать его на телефоне так же, как и на настольном компьютере. Это возможно благодаря веб-просмотру, модифицированному для имитации браузера ПК. Эта версия может работать в двух режимах: через классический просмотр, как и раньше, или с новым MITM-прокси, для работы которого требуется установка сертификата.Основная идея: Эта версия включает в себя существенные исправления ошибок и несколько новых функций — настолько, что она могла бы быть версией 1.7, — но я не смог упустить возможность выпустить версию 1.6.6 и Satan, поэтому она будет 1.6.66, поэтому она также выделена красным цветом :ржу не могу:.

- Инструкция по установке - Как и предполагалось в обзоре, наиболее важной особенностью является реализация известного патча для нативной загрузки через `httpUrlConnection`, поэтому теперь вы можете выбрать в настройках, использовать ли классический режим без сертификата или новый MITM-прокси, который требует установки сертификата. Недостаток первого варианта заключается в том, что не все запросы фильтруются, поэтому его легко можно модифицировать и сломать с помощью Spotify. Второй вариант, с другой стороны, гораздо лучше скрывается, но имеет недостаток в том, что загружается немного медленнее. В любом случае, вы можете переключиться на режим прокси, если классический режим будет модифицирован. - Если вы обновляетесь с версии <=1.6.4, необходимо удалить старую версию перед установкой этой! - Если вы обновляетесь с версии 1.6.5b, будет сохранен старый сертификат, и по умолчанию будет запущен режим прокси, на что указывает значок ключа в строке состояния. - Если вы устанавливаете с нуля, по умолчанию будет использоваться классический режим. -Если вы решите использовать прокси-режим, при первом запуске приложения будет сгенерирован и сохранен в папке «Загрузки» сертификат центра сертификации (CA). Вам потребуется установить его, перейдя по пути: Настройки > Безопасность и конфиденциальность > Шифрование и учетные данные > Установить сертификат > Сертификат CA. После установки вам потребуется подтвердить установку в приложении, и просмотр веб-страниц начнется как обычно.

- Что касается аспектов безопасности MITM-прокси (краткое изложение): Как подробно объяснялось в обсуждении предыдущей версии, реализация MITM-прокси сама по себе уже была безопасной. Закрытый ключ, используемый для подписи сертификатов, и соответствующий сертификат для установки создаются при первом запуске, и ключ хранится только в защищенном личном пространстве приложения. Прокси привязан только к localhost (127.0.0.1), поэтому он даже недоступен извне. В маловероятном случае, если будет установлено другое вредоносное приложение, которому удастся угадать порт, подключившись к прокси, худшее, что оно сможет сделать, это просмотреть запрошенные сайты без заголовков идентификации WebView, удаленных прокси. Несмотря на это, я реализовал два новых уровня безопасности для обеспечения 100% защиты: 1. Первый и самый важный — это аутентификация, теперь требуемая прокси-сервером. В этом случае пароль также генерируется при каждом запуске и остается только в памяти, и единственное приложение, которое его знает, — это сам Spotifuck, поэтому это полностью блокирует возможность даже для локальных приложений (вы можете убедиться в этом сами, подключившись к серверу через adb shell и nc и выполнив команду CONNECT yoursite.com:443). 2. Второй уровень на данном этапе не обязателен, но я реализовал его для полноты картины: это фильтр для «подписываемых» доменов с использованием белого списка. Я решил придерживаться консервативного подхода к этой функции и по умолчанию запускать ее в режиме «разрешить все», потому что если будут запрашиваться новые домены — что происходит часто, особенно с подкастами — это нарушит работу приложения. В любом случае, если хотите, вы можете получить свой собственный белый список перед запуском сервиса, поместив его в папку (создайте ее, если она не существует) /sdcard/data/Android/it.deviato.spotifuck/files/ и назвав ее `domainswhitelist.txt`. Включайте только базовые домены, без поддоменов. Комментарии, начинающиеся с #, разрешены. Я предварительно составил список доменов, захваченных во время моих запусков, чтобы вы могли использовать его в качестве отправной точки; вы можете скачать его здесь: https://pastebin.com/wBdE860H. Как и прежде, я также публикую исходный код класса CertificateAuthority и соответствующую часть MitmProxyServer для обеих функций: https://pastebin.com/JRiLujsi.