ボードゲーム「Hitster」の暗号化を解読したら、鍵は公開URLにあった

I reverse engineered a board game

「Hitster」はQRコードで曲を再生するボードゲームだが、アプリはSpotifyやApple Musicのサブスクを要求する。筆者はAPKをjadxで逆コンパイルし、AES-GCMで暗号化されたカードIDと楽曲の対応表を発見。Discordの助けを借りて32バイトの配列をXORして鍵を導出し、約3万1千行のデータを復号した。しかし最後に、同じデータが暗号化なしで公開URLに置かれていることに気づく。