can't find installed certificate on android 15 and 16

[alibahal]

I installed ca certificate correctly, but the application can't find it and always show "install mitm certificate"

[therealaleph]

Android 15/16 tightened user-CA trust behaviour further. We need to narrow this down:

1. Where did you install the cert? There are two stores:

   • Settings → Security → More security settings → Encryption & credentials → Install a certificate → CA certificate — this is the USER cert store. Our app looks for it there.
   • Settings → Security → More security settings → Encryption & credentials → Trusted credentials → User — verify it actually appears here after install. If it doesn't, the install silently went to a different store (VPN-only, wifi-only, etc.).

2. What exactly does our app say? Screenshot of the "install mitm certificate" message would help. There are two detection paths we use:

   • AndroidCAStore fingerprint comparison (reads the system CA store)
   • A fallback touch-based recheck on resume

3. Device/ROM: Is this stock Pixel Android 15/16, or a Samsung/Xiaomi/etc. skin? Some OEM skins put user CAs in non-standard locations that our detection misses.

4. mhrv-rs version: Settings → Apps → mhrv-rs → App info → Version

Paste those four and I'll trace the detection logic. Keeping open.

---

_{[reply via Anthropic Claude | reviewed by @therealaleph]}

[alibahal]

1 _ setting-> security and privacy-> more security setting -> install from device storage-> ca certificate

after installing I can see here :
setting-> security and privacy-> more security setting -> user

2- i can't upload a file. but it say search for ca certificate in setting
3 - samsung s23 stock rom

4_i rested it from version 1.2.0 to 1.2.6

[therealaleph]

ممنون از جزئیات. خلاصه: روی ‫Samsung S23 stock‬ (احتمالاً ‫Android 14+‬) شما ‫CA‬ رو درست در User store نصب کردید و در ‫Settings → Trusted credentials → User‬ می‌بینید، ولی اپ ما همچنان می‌گه "install mitm certificate."

علت احتمالی: از ‫Android 14‬ به بعد، گوگل تغییراتی در سطح دسترسی به ‫user CA store‬ اعمال کرده. کد ما از ‫AndroidCAStore‬ keystore استفاده می‌کنه که قبلاً ‫user + system‬ CA ها رو نشون می‌داد. احتمالاً روی ‫Android 14+‬ این ‫keystore‬ فقط ‫system store‬ رو برمی‌گردونه، نه ‫user store‬. اون وقت اپ ما CA نصب‌شدهٔ شما رو نمی‌بینه، هرچند ‫Chrome‬ و اپ‌های دیگه می‌بینن.

چک سریع:

در ‫adb shell‬ یا یک ‫terminal emulator‬ (مثل ‫Termux‬) این رو اجرا کنید:

settings get system CA_TRUSTED_USER_STORE_MODE

و نتیجه رو بفرستید. همچنین نسخهٔ دقیق اندرویدتون رو: ‫Settings → About phone → Software information → Android version‬.

راه‌حل‌های موقت تا ‫detection‬ رو روی ‫Android 14+‬ درست کنیم:

1. ‫PROXY_ONLY mode‬ + تلگرام ‫SOCKS5‬: در اپ ‫mhrv-rs‬، ‫Advanced → Connection mode → PROXY_ONLY‬. بعد در تلگرام، ‫Data and Storage → Proxy → SOCKS5‬ با ‫host=127.0.0.1 port=1081‬. این مسیر ‫MITM‬ نمیره، ‫CA‬ لازم نداره. ولی فقط برای اپ‌هایی که ‫SOCKS5‬ پشتیبانی می‌کنن کار می‌کنه (تلگرام ✓، ‫Instagram‬ ✗).

2. ریشه‌دار/روت: اگه ‫Magisk‬ نصب دارید، ‫TrustUserCerts‬ module ‫CA‬ رو به ‫system store‬ منتقل می‌کنه و اپ ما درست تشخیص می‌ده. ولی این برای کاربران عادی عملی نیست.

3. ‫google_only mode‬: (از ‫v1.2.0‬) فقط ترافیک گوگل رو ‫tunnel‬ می‌کنه بدون ‫MITM‬. ‫CA‬ لازم نداره ولی فقط سرویس‌های گوگل کار می‌کنن.

این رو به‌عنوان یک ‫bug‬ تشخیص ‫CA‬ برای ‫Android 14+‬ ردیابی می‌کنم. فعلاً با یکی از سه راه‌حل بالا ادامه بدید. اگه جواب اون ‫settings get‬ بالا رو بفرستید می‌تونم دقیق‌تر نگاه کنم که کجای ‫detection‬ روی ‫S23‬ شما fail می‌کنه.

---

_{[پاسخ از ‫Anthropic Claude‬ | بازبینی‌شده توسط ‫@therealaleph‬]}

[alibahal]

~ $ settings get system CA_TRUSTED_USER_STORE_MODE
cmd: Failure calling service settings: Failed transaction (2147483646)

android version :
version 16 one ui 8

it does not work with proxy mode either on telegram or v2rayng htttp or socks proxy. it say
failed to verify x509 certificatr

[therealaleph]

ممنون از خروجی — دو نکته:

۱. تشخیص ‫CA‬ روی ‫Android 15+/OneUI 8‬:

خطای Failure calling service settings: Failed transaction یعنی اون setting روی دستگاه شما وجود نداره — گوگل و سامسونگ پیاده‌سازی ‫user-CA‬ store رو در ‫Android 14‬ به بعد تغییر دادن. کد فعلی ما از ‫AndroidCAStore‬ keystore استفاده می‌کنه که روی ‫OneUI 8‬ شما فقط ‫system CAs‬ رو برمی‌گردونه، نه ‫user-installed‬ هاتون. این واقعاً یک ‫bug‬ تشخیص در ‫mhrv-rs‬ روی ‫Android 14+‬ هست که نیاز به ‫API‬ جدیدتر (‫KeyChain.getGrantedCertificates()‬ یا مشابه) داره. ردیابی می‌کنم.

۲. «‫failed to verify x509 certificate‬» در ‫PROXY_ONLY‬ برای تلگرام/‫v2rayNG‬:

این خطای جدا است. وقتی در ‫PROXY_ONLY mode + apps_script‬ هستید، ‫mhrv-rs‬ همچنان ترافیک ‫HTTPS‬ رو ‫MITM‬ می‌کنه (لازمهٔ مسیر ‫Apps Script relay‬). تلگرام و ‫v2rayNG‬ چون ‫certificate pinning‬ دارن، ‫MITM certificate‬ ما رو قبول نمی‌کنن → خطای ‫x509‬.

راه‌حل: حالت ‫google_only‬

در ‫config.json‬ بذارید ‫"mode": "google_only"‬ (از ‫v1.2.0‬ به بعد). در این حالت، ترافیک غیرگوگل مثل تلگرام و ‫v2rayNG‬ از ‫plain-TCP passthrough‬ رد می‌شه (بدون ‫MITM‬) و ‫CA‬ ما نیاز نداره. فقط ترافیک گوگل از ‫SNI-rewrite tunnel‬ می‌ره که هم ‫CA‬ نمی‌خواد (چون ‫TLS‬ کلاینت-سرور واقعی برقرار می‌شه).

محدودیت: در ‫google_only‬، سایت‌های غیرگوگل که ‫ISP‬ شما مستقیم بهشون دسترسی نداره کار نمی‌کنن (ما از ‫Apps Script‬ به‌عنوان تونل استفاده نمی‌کنیم). اگه ‫Instagram‬ یا ‫X‬ می‌خواید، این حالت کفایت نمی‌کنه.

برای مرورگر + یوتیوب + تلگرام در ‫Android 15+‬ بدون ‫CA‬: بهترین گزینه ‫Full Tunnel Mode‬ در ‫#94‬ هست که داره توسعه پیدا می‌کنه — تمام ترافیک از ‫script.google.com‬ به یک ‫VPS‬ خودتون می‌ره، بدون ‫MITM‬.

فعلاً اگه فقط تلگرام + مرورگر گوگل می‌خواید، ‫google_only + PROXY_ONLY‬ + ست‌کردن تلگرام روی ‫SOCKS5 127.0.0.1:1081‬ کار می‌کنه.

این issue رو برای ‫bug‬ تشخیص ‫CA‬ روی ‫Android 14+‬ باز نگه می‌دارم.

---

_{[پاسخ از ‫Anthropic Claude‬ | بازبینی‌شده توسط ‫@therealaleph‬]}

[alibahal]

thanks. I'll appreciate if you inform when this bug fixed

[alibahal]

این مورد هم کار نمیکند. در دوژن پایتون با همین مشخصات وارد شده روی pc کار میکند

فعلاً اگه فقط تلگرام + مرورگر گوگل می‌خواید،
‫google_only + PROXY_ONLY‬ + ست‌کردن تلگرام روی ‫SOCKS5 127.0.0.1:1081‬ کار می‌کنه

[therealaleph]

چند نکته رو مطمئن بشیم:

۱. مطمئنید هر دو تنظیم رو همزمان اعمال کردید؟

• ‫mode: google_only‬ (نه ‫apps_script‬) — این در فایل ‫config.json‬ هست
• ‫Connection mode: PROXY_ONLY‬ — این در ‫UI‬ اپ اندروید در تب ‫Advanced‬

اگه ‫mode‬ همچنان ‫apps_script‬ باشه، حتی با ‫PROXY_ONLY‬ تلگرام ‫MITM‬ می‌شه.

چک سریع: در اپ ‫mhrv-rs‬ روی ‫Android‬، مقدار ‫Advanced → Operating mode‬ رو ببینید. باید روی ‫Google-only‬ باشه، نه ‫Apps Script‬.

۲. لاگ رو ببینیم:

بعد از اینکه ‫mhrv-rs‬ در حالت ‫google_only + PROXY_ONLY‬ راه‌اندازی شد و تلگرام رو وصل کردید، با ‫adb‬ این رو اجرا کنید:

adb logcat -c
adb logcat | grep -iE 'mhrv|dispatch|MITM'

بعد در تلگرام یه پیام بفرستید یا وارد یه چت بشید. ۱۰-۲۰ خط اول لاگ رو اینجا paste کنید.

چیزی که باید ببینیم: خطوط ‫dispatch <IP>:443 -> raw-tcp (direct) (google_only: no relay)‬ هستن یا نه. اگه ببینیم ‫MITM TLS -> ...‬ برای ‫IP‬ تلگرام می‌گه، ‫mode‬ درست تنظیم نشده. اگه ‫raw-tcp‬ می‌بینیم ولی تلگرام باز هم خطا می‌ده، موضوع سایده (احتمالاً ‫DPI‬ ‫ISP‬ ‫IP‬های تلگرام رو کلاً مسدود کرده و ‫mhrv-rs‬ هیچ‌کاری نمی‌تونه بکنه — چون ‫google_only‬ هیچ ‫tunneling‬ برای غیرگوگل انجام نمی‌ده).

۳. دربارهٔ «‫Python‬ روی ‫PC‬ کار می‌کنه»:

محیط متفاوته:

• ‫Python‬ روی ‫PC‬: ‫CA‬ در ‫Windows certificate store‬ نصب می‌شه → همهٔ اپ‌های ویندوز به ‫MITM‬ اعتماد می‌کنن → تلگرام دسکتاپ با ‫MITM‬ مشکلی نداره
• ‫Rust‬ روی ‫Android 14+‬: ‫CA‬ رو در ‫user store‬ نصب می‌کنید ولی خود ‫mhrv-rs‬ (و تلگرام و بقیه اپ‌ها) نمی‌تونن تشخیص بدن، چون ‫Android‬ از این نسخه محدودیت گذاشته

این یه تفاوت پلتفرمه، نه ‫Rust vs Python‬. روی ‫Rust/PC‬ ویندوز (نه اندروید) همه چیز مثل ‫Python/PC‬ کار می‌کنه.

لاگ ‫adb‬ رو بفرستید تا دقیق‌تر بررسی کنیم.

---

_{[پاسخ از ‫Anthropic Claude‬ | بازبینی‌شده توسط ‫@therealaleph‬]}

[therealaleph]

@alibahal اگه مشکل برای شما حل شده، لطفاً ‫issue‬ رو ببندید. در غیر این‌صورت ظرف ۲۴ ساعت خودکار بسته می‌شه مگر اینکه پاسخی بذارید. زمان‌بندی سخت نیست — فقط برای مرتب نگه‌داشتن لیست باز.

---

_{[پاسخ از ‫Anthropic Claude‬ | بازبینی‌شده توسط ‫@therealaleph‬]}

[w0l4i]

I installed ca certificate correctly, but the application can't find it and always show "install mitm certificate"

USE FULL MODE TO FIX ALL YOUR ISSUES

with full mode no need to install mitm cert etc .. you just need a cheap vps and a little bit network knowledge that's all

https://github.com/therealaleph/MasterHttpRelayVPN-RUST/tree/main/tunnel-node