Как я приваткей у Happ нашел

Реверсить чужое приложение — это как копаться в грязном белье прачечной твоего района. Шанс найти криптокошелёк меньше, чем шанс что тебя увидят владельцы этой одежды. Которые не только осудят, но и отпиздят. А следом отпиздят мимо проходящие зеваки и все, кто прочитает новость о тебе на следующий день в местном паблике. Мистер нюхач, ты точно этого хотел?

Но любопытство — штука сильнее инстинкта самосохранения. Happ забрал себе красивое начало ссылки — `crypt`. Звучит серьёзно. Криптография, шифрование, военные технологии Гренландии. Что же там такого секретного, что понадобился целый crypt для передачи подписок?

Спойлер: ничего.

Что такое Happ и зачем он нужен

Happ - приложение-проводник. Открывает доступ к тому, что в некоторых странах решили закрыть. Писькограм, дрочток, пердуб, дрискорд - всё то, куда тебе теперь нельзя.

Без проводника есть ВК, есть Телеграм. Там тоже контент. Но не такой. И главное - зачем вообще лишать человека выбора?

Официальная причина блокировок - безопасность. Мошенники, террористы, экстремисты. Звучит страшно. Только вот эти ребята могут поселиться в любом мессенджере и соц платформе. Хоть в Одноклассниках. Хоть в комментариях на Авито.

Я не против хорошей отечественной платформы. Наоборот, по-доброму завидую WeChat у Китая и хочу такое же пиздатое мастер приложение у нас.

Там есть всё: платёжка, короткие видео, мессенджер, магазины. Кошелёк встроен прямо в приложение. Вечером листаешь ленту, натыкаешься на какую-то бесполезную хуйню, а утром курьер её уже тебе доставил до порога. Импульсивные покупки возведены в хороший бизнес.

Это добрый пиар. Функционал, удобство, дизайн, ощущение надёжности. Люди приходят сами, потому что реально удобно и потому-что весь бизнес там, считай, у тебя нет выбора. ВитькаХуанСи сосед твой, зарядки собирает и продает только там, иди ставь приложение.

А блокировка конкурентов - это не пиар... а... другая статья в Bruce Stars.

Happ сделан нормально. UI удобный, работает стабильно. Подписки добавляются через ссылку типа `happ://crypt4/xxxxx` - кликнул и готово или же с помощью обычного URL.

Четыре crypt'а

Открываю ссылку на подписку, а там варианты: `crypt`, `crypt2`, `crypt3`, `crypt4`. Четыре версии. Зачем столько?

Полез в документацию и в кишки приложения. Выяснилось:

crypt4 - актуальная версия. RSA-4096, свежий ключ. Это то, что используется сейчас.

А остальные три - наследие. Остались для обратной совместимости, чтобы старые ссылки продолжали работать:

crypt - RSA-1024, самая первая версия. Работала только для коротких ссылок до 110 символов - ограничение алгоритма.
crypt2 - RSA-4096. Сделали, когда ссылки стали длиннее.
crypt3 - тот же RSA-4096, тот же ключ что и crypt2. Почему два названия - история умалчивает.

Итого: не четыре параллельные системы, а одна система с историей. Актуален crypt4, остальное - чтобы у людей со старыми ссылками ничего не сломалось.

Зачем вообще шифровать

А вот тут интересно. Я думал, это театр безопасности - шифрование ради шифрования. Оказалось, всё прагматичнее.

Официальная документация Happ говорит прямо:

"Шифрование ссылок предназначено для скрытия адреса подписки от пользователя. После добавления зашифрованной подписки пользователь не может редактировать, просматривать или делиться конфигурациями серверов."

Важный момент: это не Happ заставляет. Happ просто даёт инструмент. Провайдер сам решает - выдать тебе обычный URL или завернуть в crypt4.

Провайдер может дать обычную ссылку - добавляй куда хочешь: Sing-box, Clash Verge, V2rayN, да хоть в блокнот записывай. Никаких ограничений.

А может выдать crypt4. Тогда:

Привязка к Happ. Зашифрованную ссылку понимает только Happ. Хочешь другой клиент - нужен реальный URL, а его ты не видишь.
Ограничение по HWID. Провайдер может привязать подписку к конкретным устройствам. Эта фича работает только в Happ - вот провайдер и выдаёт crypt4, чтобы ты не убежал в другое приложение и не обошёл лимит.
Защита от шеринга. Ты не видишь реальный URL сервера - не можешь скинуть другу. Провайдер продал подписку тебе, а не тебе и твоим десяти друзьям. Провайдер может выставить лимит: 1 устройство.
Контроль. Провайдер знает, что его пользователи сидят в Happ. Может использовать все фичи платформы: лимиты устройств, аналитику, push-уведомления.

Короче, шифрование - инструмент для провайдера. Не хороший и не плохой. Зависит от того, как его используют.

Одни провайдеры дают открытые ссылки - пользуйся где хочешь. Другие заворачивают в crypt4 - сиди в Happ. Третьи дают и то, и то - выбирай сам. Рынок.

А теперь фокус

Приватные ключи для расшифровки зашиты прямо в приложение. В бинарник. Один и тот же набор ключей у всех пользователей - у тебя, у меня, у провайдера из Казахстана.

Любой человек с базовыми навыками реверса может вытащить эти ключи и расшифровать любую crypt-ссылку. Уже есть телеграм-боты, которые делают это автоматически, примерно 5 приложений = 5 человек смогли отреверсить иконку приложения для сборки пазла в виде приваткей.

Защита работает ровно до того момента, пока пользователь не загуглит "happ decrypt". После этого - всё, ссылка раскрыта, добавляй куда хочешь.

Защита уровня «закрыл глаза - меня не видно» или когда « в гитхаб репо есть .env»

Для кого это работает

Для обычного пользователя - работает отлично. Он не полезет реверсить приложение. Не будет искать ботов в телеге. Добавит подписку, она заработает, он пойдёт смотреть видосики. Happ его устраивает. Миссия выполнена. Захочет юзать на втором девайсе, то купить еще одну подписку.

Для провайдера - работает на 95%. Большинство пользователей не обойдут защиту. Не потому что не смогут - потому что им и так норм. Оставшиеся 5% технарей найдут бота за минуту, но провайдер с этим живёт норм.

Для тебя, если хочешь Sing-box или клэш - зависит от провайдера. Если он выдаёт crypt4 - либо проси открытую ссылку, либо гугли расшифровку, либо ищи другого провайдера.

Итого

Happ - нормальное приложение, существует с 2024 года. Делает свою работу, даёт доступ к заблокированным сервисам. UI приятный, работает стабильно. Пользуйтесь на здоровье.

За это время они успели сменить схему шифрования четыре раза. Crypt, crypt2, crypt3, crypt4. Это как менять замок на двери каждые три месяца, потому что ключ опять нашли под ковриком. Кстати, актуален crypt4, остальные живут для обратной совместимости.

Методология разработки Happ: сломали → пофиксили → сломали → пофиксили → назвали это «эволюцией».

Шифрование ссылок - инструмент для провайдеров. Happ его предоставляет, провайдер решает использовать или нет. Кто-то даёт открытые ссылки, кто-то заворачивает в crypt4 ради HWID-лимитов и контроля. Выбор за провайдером, а потом за тобой — у какого провайдера покупать. Или ты уже знаешь что гуглить :)

Кстати бот для дешифрования текста в ссылку на подписку: @happdecrypterbot

Приваткей всех 4 версий продаю за 100 баксов: @bruce_club или попож солью в Bruce Stars

crypt public key

(Максимальная длина текста: 110 символов)

crypt2 public key

(Максимальная длина текста: 450 символов)

crypt3 public key

(Максимальная длина текста: 450 символов)

crypt4 public key

(Максимальная длина текста: 450 символов)