Er hat die Hitster-App auseinandergenommen – und fand den Schlüssel im Klartext
I reverse engineered a board game
Ein Blogautor bekam das Brettspiel Hitster geschenkt, dessen App für das Abspielen der Songs ein Spotify- oder Apple-Music-Abo voraussetzt. Er dekompilierte die Android-App, entdeckte in den Ressourcen eine Base64-kodierte, AES-verschlüsselte Kartendatenbank und fand den Schlüssel, indem er zwei 32-Byte-Arrays per XOR verknüpfte. Nach 18 Stunden stellte sich heraus: Dieselben Daten liegen unverschlüsselt auf einem öffentlichen Server.
Wir haben rund 18 Stunden damit verbracht, einer Datei nachzujagen, die am Ende nicht einmal ein echtes Geheimnis war.