diff --git a/.devcontainer/devcontainer.json b/.devcontainer/devcontainer.json
index 856759b..43af153 100644
--- a/.devcontainer/devcontainer.json
+++ b/.devcontainer/devcontainer.json
@@ -44,11 +44,7 @@
             "installGradle": false
         }
     },
-    "forwardPorts": [8080, 9080],
-    "portsAttributes": {
-        "8080": { "label": "mitmweb", "protocol": "http" },
-        "9080": { "label": "mitmproxy", "protocol": "http" }
-    },
+    "forwardPorts": [9080],
     "otherPortsAttributes": {
         "onAutoForward": "ignore"
     },
diff --git a/.vscode/settings.json b/.vscode/settings.json
index bd23ee8..162d807 100644
--- a/.vscode/settings.json
+++ b/.vscode/settings.json
@@ -1,5 +1,5 @@
 {
-    "gitdoc.ai.customInstructions": "Generate a commit message in Japanese following the Conventional Commits specification and `commitlint` rules. Use the format `<type>(<scope>): <short description>` and choose `<type>` from `build`, `ci`, `docs`, `feat`, `fix`, `perf`, `chore`, `refactor`, `revert`, `format`, `test`. Limit `<short description>` to 72 characters. If `<short description>` starts with an English word, it must be in lowercase.",
+    "gitdoc.ai.customInstructions": "Generate a commit message in English following the Conventional Commits specification and `commitlint` rules. Use the format `<type>(<scope>): <short description>` and choose `<type>` from `build`, `ci`, `docs`, `feat`, `fix`, `perf`, `chore`, `refactor`, `revert`, `format`, `test`. Limit `<short description>` to 72 characters. If `<short description>` starts with an English word, it must be in lowercase.",
     "gitdoc.ai.enabled": true,
     "gitdoc.ai.model": "gpt-4o",
     "gitdoc.autoPull": "onPush",
@@ -11,7 +11,7 @@
     ],
     "gitdoc.pushMode": "push",
     "gitdoc.timeZone": "Asia/Tokyo",
-    "gitlens.ai.generateCommitMessage.customInstructions": "Generate a commit message in Japanese following the Conventional Commits specification and `commitlint` rules. Use the format `<type>(<scope>): <short description>` and choose `<type>` from `build`, `ci`, `docs`, `feat`, `fix`, `perf`, `chore`, `refactor`, `revert`, `format`, `test`. Limit `<short description>` to 72 characters. If `<short description>` starts with an English word, it must be in lowercase.",
+    "gitlens.ai.generateCommitMessage.customInstructions": "Generate a commit message in English following the Conventional Commits specification and `commitlint` rules. Use the format `<type>(<scope>): <short description>` and choose `<type>` from `build`, `ci`, `docs`, `feat`, `fix`, `perf`, `chore`, `refactor`, `revert`, `format`, `test`. Limit `<short description>` to 72 characters. If `<short description>` starts with an English word, it must be in lowercase.",
     "remote.localPortHost": "allInterfaces",
     "python.terminal.activateEnvironment": false,
     "files.exclude": {
diff --git a/README.md b/README.md
index e83375e..7ec1f83 100644
--- a/README.md
+++ b/README.md
@@ -71,20 +71,26 @@ DevContainer で構築済み。`Rebuild Container` で全ツールが揃う。
 
 ## macOS ホスト設定
 
-DevContainer はDocker Desktop の Linux VM 内で動作するため、LAN 上のデバイス (iOS/Android) と直接通信できない。以下の設定で macOS を踏み台にして SSH / Frida を中継する。
+DevContainer は Docker Desktop の Linux VM 内で動作するため、iOS デバイスと直接通信できない。USB 接続の iproxy を経由することで、WiFi の IP 変更やネットワーク不安定の影響を受けずに接続できる。
 
-### 1. リモートログインを有効化
-
-**システム設定 → 一般 → 共有 → リモートログイン** をオンにする。
-
-### 2. SSH 公開鍵を登録
-
-コンテナ内の鍵を macOS の authorized_keys に追加する:
+### 1. iproxy のインストール (macOS)
 
 ```bash
-cat ~/.ssh/id_ed25519.pub >> ~/.ssh/authorized_keys
+brew install libimobiledevice
 ```
 
+### 2. iproxy の起動 (macOS)
+
+iPhone を USB で接続した状態で:
+
+```bash
+iproxy 2222 22 &
+iproxy 27042 27042 &
+```
+
+- `2222 → 22`: SSH 接続用
+- `27042 → 27042`: Frida 接続用
+
 ### 3. VS Code ポートフォワーディング設定
 
 `.vscode/settings.json` に以下を追加して、mitmproxy のポートを LAN に公開する:
@@ -93,44 +99,9 @@ cat ~/.ssh/id_ed25519.pub >> ~/.ssh/authorized_keys
 "remote.localPortHost": "allInterfaces"
 ```
 
-### 4. SSH config を設定
+### 4. SSH config (コンテナ内)
 
-`~/.ssh/config` に以下を追加して、macOS を踏み台にした ProxyJump を設定する。
-
-**エイリアスあり** (macOS ホストを再利用する場合):
-
-```sshconfig
-Host docker-host
-  HostName host.docker.internal
-  User <macOS のユーザー名>
-
-Host iPhone
-  HostName <デバイスの LAN IP>
-  User root
-  ProxyJump docker-host
-  LocalForward 27042 127.0.0.1:27042
-```
-
-**エイリアスなし** (シンプルに一つで完結):
-
-```sshconfig
-Host iPhone
-  HostName <デバイスの LAN IP>
-  User root
-  ProxyJump <macOS のユーザー名>@host.docker.internal
-  LocalForward 27042 127.0.0.1:27042
-```
-
-**iproxy (USB 経由)** — macOS ユーザー名やデバイス IP が不要:
-
-macOS 側で iproxy を起動しておく:
-
-```bash
-iproxy 2222 22 &
-iproxy 27042 27042 &
-```
-
-SSH config:
+`~/.ssh/config`:
 
 ```sshconfig
 Host iPhone
@@ -139,15 +110,13 @@ Host iPhone
   Port 2222
 ```
 
-Frida は `frida -H 127.0.0.1` ではなく `frida -H host.docker.internal` で接続する。
-
 ### 接続経路
 
 | 用途 | 方向 | 経路 |
 |------|------|------|
-| **SSH** | コンテナ → デバイス | `ssh iPhone` (ProxyJump で macOS を経由) |
-| **Frida** | コンテナ → デバイス | `ssh -fN iPhone` でトンネル確立後、`frida -H 127.0.0.1` で接続 |
-| **mitmproxy** | デバイス → コンテナ | デバイスのプロキシを macOS の LAN IP:9080 に設定 |
+| **SSH** | コンテナ → デバイス | `ssh iPhone` → `host.docker.internal:2222` → iproxy (USB) → デバイス:22 |
+| **Frida** | コンテナ → デバイス | `frida -H host.docker.internal` → iproxy (USB) → デバイス:27042 |
+| **mitmproxy** | デバイス → コンテナ | デバイスの WiFi プロキシを macOS の LAN IP:9080 に設定 |
 
 ## 使い方
 
@@ -161,10 +130,10 @@ uv run python tools/run.py packages/frida/<script>.js
 uv run python tools/run.py --android packages/frida/<script>.js
 ```
 
-`.env` にデバイスの IP を設定:
+`.env` にデバイスのホストを設定 (iproxy 経由の場合は `host.docker.internal`):
 
 ```
-IOS_HOST=192.168.x.x
+IOS_HOST=host.docker.internal
 ANDROID_HOST=192.168.x.x
 ```
 
diff --git a/docs/plans/appboot_privkey_extract.md b/docs/plans/appboot_privkey_extract.md
new file mode 100644
index 0000000..47f4b7a
--- /dev/null
+++ b/docs/plans/appboot_privkey_extract.md
@@ -0,0 +1,70 @@
+# 作業計画書: appboot DH 秘密鍵抽出 Tweak
+
+日時: 2026-04-08T00:00:00+09:00
+
+## 目標
+
+Netflix iOS アプリの appboot リクエストで使用される DH 秘密鍵（および派生セッション鍵 enc_key / hmac_key）を iOS Tweak で抽出する。
+
+## タスク一覧
+
+### frida-engineer 担当 (Phase 1: 調査)
+
+- [ ] F1: 既存スクリプト (`msl-crypto.ts`, `find_appboot.js`) の現状確認
+- [ ] F2: `NFWebCrypto.framework` / `MslClient.framework` / `Nbp.framework` のエクスポートシンボル列挙 (`Module.enumerateExports()`)
+  - DH 鍵生成関連シンボル (dhKeyGen, dhDerive, HKDF 等) の正確なマングル名を特定
+- [ ] F3: Security.framework API vs 独自実装の判別
+  - import テーブルから `SecKeyCreateRandomKey`, `CCDHCreate` 等のリンク有無を確認
+- [ ] F4: ランタイムで DH 秘密鍵のメモリ形式を確認
+  - `dhComputeSharedSecret` フック拡張、秘密鍵のポインタダンプ (形式: raw bignum / PKCS#8 / DER)
+- [ ] F5: appboot フロー中のコールスタック取得 (`Thread.backtrace()`)
+- [ ] F6: Tweak 開発者向け情報整理ドキュメント作成
+  - シンボル名、オフセット、メモリ形式、フック方法をまとめる
+
+### tweak-engineer 担当 (Phase 2: 実装)
+
+- [ ] T1: 新規 Tweak `AppbootKeyExtract` のプロジェクト作成
+  - Makefile, control, plist, ディレクトリ構成
+  - Security フレームワークをリンク
+- [ ] T2: フックアプローチの実装 (F6 の調査結果に基づき選択)
+  - 案 A: `NFWebCrypto` C 関数シンボルフック (`MSHookFunction` + `dlsym`)
+  - 案 B: `Security.framework` API フック (`SecKeyCreateRandomKey` 等)
+  - 案 C: `IosSessionCryptoContext` vtable フック
+- [ ] T3: ログ出力実装
+  - プレフィックス `[NFXKey]`、NSLog で出力
+  - DH 公開値、秘密鍵、enc_key、hmac_key を hex ダンプ
+- [ ] T4: ビルド・デバイスインストール・動作確認
+
+### log-monitor 担当 (Phase 3: 検証)
+
+- [ ] L1: デバイスログ監視 (`[NFXKey]` プレフィックスのフィルタリング)
+- [ ] L2: 鍵材料の出力確認・レポート
+
+## 実行順序
+
+1. **Phase 1 (調査)**: frida-engineer が F1-F6 を実行 → シンボル情報・フック方法を確定
+2. **Phase 2 (実装)**: tweak-engineer が T1-T4 を実行（Phase 1 の結果に依存）
+3. **Phase 3 (検証)**: log-monitor が L1-L2 で動作検証
+
+※ Phase 1 完了後、調査結果をレビューしてから Phase 2 に進む
+
+## 成果物
+
+- `packages/tweak/AppbootKeyExtract/`: 新規 Tweak ソースコード
+- `docs/spec/appboot_dh_symbols.md`: DH 関連シンボル調査結果
+- デバイスログ: appboot 時の DH 秘密鍵・セッション鍵
+
+## フックアプローチ候補
+
+| 案 | 対象 | メリット | リスク |
+|----|------|---------|--------|
+| A: C 関数シンボルフック | `NFWebCrypto::dhKeyGen` | 直接的、正確 | シンボル非公開の可能性 |
+| B: Security.framework API | `SecKeyCreateRandomKey` 等 | 確実にフック可能 | Netflix が使っていない可能性 |
+| C: vtable フック | `IosSessionCryptoContext` | 派生鍵を直接取得 | バイナリ更新で壊れる |
+
+## リスク・注意点
+
+- Netflix アプリ更新でシンボルオフセットが変わる可能性
+- C++ マングル名はコンパイラバージョンに依存
+- DH 秘密鍵が `SecKey` でなく独自構造体の場合、Security.framework フックでは捕捉できない
+- アプリクラッシュ時のデバッグのため、フックは段階的に有効化する
diff --git a/packages/tweak/AppbootKeyExtract/AppbootKeyExtract.plist b/packages/tweak/AppbootKeyExtract/AppbootKeyExtract.plist
new file mode 100644
index 0000000..e94b864
--- /dev/null
+++ b/packages/tweak/AppbootKeyExtract/AppbootKeyExtract.plist
@@ -0,0 +1,13 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
+<plist version="1.0">
+<dict>
+    <key>Filter</key>
+    <dict>
+        <key>Bundles</key>
+        <array>
+            <string>com.netflix.Netflix</string>
+        </array>
+    </dict>
+</dict>
+</plist>
diff --git a/packages/tweak/AppbootKeyExtract/Makefile b/packages/tweak/AppbootKeyExtract/Makefile
new file mode 100644
index 0000000..bd5e6d5
--- /dev/null
+++ b/packages/tweak/AppbootKeyExtract/Makefile
@@ -0,0 +1,19 @@
+TARGET := iphone:clang:16.5:15.0
+INSTALL_TARGET_PROCESSES = Argo
+ARCHS = arm64
+THEOS_PACKAGE_SCHEME = rootless
+
+include $(THEOS)/makefiles/common.mk
+
+TWEAK_NAME = AppbootKeyExtract
+
+AppbootKeyExtract_FILES = $(shell find Sources/AppbootKeyExtract -name '*.swift') $(shell find Sources/AppbootKeyExtractC -name '*.m' -o -name '*.c' -o -name '*.mm' -o -name '*.cpp')
+AppbootKeyExtract_SWIFTFLAGS = -ISources/AppbootKeyExtractC/include
+AppbootKeyExtract_CFLAGS = -fobjc-arc -ISources/AppbootKeyExtractC/include
+AppbootKeyExtract_FRAMEWORKS = Foundation
+AppbootKeyExtract_LDFLAGS = -lsubstrate
+
+include $(THEOS_MAKE_PATH)/tweak.mk
+
+after-install::
+	install.exec "chmod 755 /var/jb/Library/MobileSubstrate/DynamicLibraries/AppbootKeyExtract.dylib"
diff --git a/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtract/Tweak.x.swift b/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtract/Tweak.x.swift
new file mode 100644
index 0000000..6560981
--- /dev/null
+++ b/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtract/Tweak.x.swift
@@ -0,0 +1 @@
+import Orion
diff --git a/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtractC/Tweak.m b/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtractC/Tweak.m
new file mode 100644
index 0000000..4075ced
--- /dev/null
+++ b/packages/tweak/AppbootKeyExtract/Sources/AppbootKeyExtractC/Tweak.m
@@ -0,0 +1,155 @@
+#import <Orion/Orion.h>
+#import <os/log.h>
+#import <substrate.h>
+#import <Foundation/Foundation.h>
+#import <objc/runtime.h>
+#import <dlfcn.h>
+
+static os_log_t g_log = NULL;
+static NSString *g_logFile = nil;
+
+#define NFXKEY_LOG(fmt, ...) \
+    do { \
+        if (g_log) { os_log(g_log, fmt, ##__VA_ARGS__); } \
+        NSLog(@"[NFXKey] " fmt, ##__VA_ARGS__); \
+    } while (0)
+
+static void file_log(NSString *msg) {
+    if (!g_logFile) return;
+    @try {
+        NSDateFormatter *df = [[NSDateFormatter alloc] init];
+        df.dateFormat = @"HH:mm:ss.SSS";
+        NSString *line = [NSString stringWithFormat:@"%@ %@\n", [df stringFromDate:[NSDate date]], msg];
+        NSFileHandle *fh = [NSFileHandle fileHandleForWritingAtPath:g_logFile];
+        if (!fh) {
+            [line writeToFile:g_logFile atomically:YES encoding:NSUTF8StringEncoding error:nil];
+        } else {
+            [fh seekToEndOfFile];
+            [fh writeData:[line dataUsingEncoding:NSUTF8StringEncoding]];
+            [fh closeFile];
+        }
+    } @catch (NSException *e) {}
+}
+
+static NSString *hexEncode(const uint8_t *data, int len) {
+    NSMutableString *s = [NSMutableString stringWithCapacity:len * 2];
+    for (int i = 0; i < len; i++) {
+        [s appendFormat:@"%02x", data[i]];
+    }
+    return s;
+}
+
+// ---------------------------------------------------------------------------
+// Hook: AES_set_encrypt_key / AES_set_decrypt_key from NFWebCrypto
+// int AES_set_encrypt_key(const unsigned char *userKey, int bits, AES_KEY *key)
+// ---------------------------------------------------------------------------
+
+static int (*orig_AES_set_encrypt_key)(const unsigned char *userKey, int bits, void *key);
+static int hook_AES_set_encrypt_key(const unsigned char *userKey, int bits, void *key) {
+    int keyLen = bits / 8;
+    if (keyLen == 16 || keyLen == 32) {
+        file_log([NSString stringWithFormat:@"[AES_set_encrypt_key] bits=%d key=%@",
+                  bits, hexEncode(userKey, keyLen)]);
+    }
+    return orig_AES_set_encrypt_key(userKey, bits, key);
+}
+
+static int (*orig_AES_set_decrypt_key)(const unsigned char *userKey, int bits, void *key);
+static int hook_AES_set_decrypt_key(const unsigned char *userKey, int bits, void *key) {
+    int keyLen = bits / 8;
+    if (keyLen == 16 || keyLen == 32) {
+        file_log([NSString stringWithFormat:@"[AES_set_decrypt_key] bits=%d key=%@",
+                  bits, hexEncode(userKey, keyLen)]);
+    }
+    return orig_AES_set_decrypt_key(userKey, bits, key);
+}
+
+// ---------------------------------------------------------------------------
+// Hook: HMAC from NFWebCrypto
+// unsigned char *HMAC(const EVP_MD *evp_md, const void *key, int key_len,
+//                     const unsigned char *d, size_t n, unsigned char *md, unsigned int *md_len)
+// ---------------------------------------------------------------------------
+
+static unsigned char *(*orig_HMAC)(const void *evp_md, const void *key, int key_len,
+                                    const unsigned char *d, size_t n, unsigned char *md, unsigned int *md_len);
+static unsigned char *hook_HMAC(const void *evp_md, const void *key, int key_len,
+                                 const unsigned char *d, size_t n, unsigned char *md, unsigned int *md_len) {
+    if (key_len == 32) {
+        file_log([NSString stringWithFormat:@"[HMAC] key_len=%d key=%@",
+                  key_len, hexEncode((const uint8_t *)key, key_len)]);
+    }
+    return orig_HMAC(evp_md, key, key_len, d, n, md, md_len);
+}
+
+// ---------------------------------------------------------------------------
+// Hook: IosMslClient.setDidAppboot:
+// ---------------------------------------------------------------------------
+
+static void (*orig_setDidAppboot)(id self, SEL _cmd, BOOL value);
+static void hook_setDidAppboot(id self, SEL _cmd, BOOL value) {
+    file_log([NSString stringWithFormat:@"setDidAppboot: %d", value]);
+    NFXKEY_LOG("setDidAppboot: %d", value);
+    orig_setDidAppboot(self, _cmd, value);
+}
+
+// ---------------------------------------------------------------------------
+// Constructor
+// ---------------------------------------------------------------------------
+
+__attribute__((constructor)) static void init(void) {
+    orion_init();
+    g_log = os_log_create("dev.tkgstrator.charon", "keyextract");
+    g_logFile = [NSTemporaryDirectory() stringByAppendingPathComponent:@"nfxkey.log"];
+
+    file_log(@"=== AppbootKeyExtract loaded ===");
+    NFXKEY_LOG("AppbootKeyExtract loaded");
+
+    // Hook IosMslClient.setDidAppboot:
+    Class cls = objc_getClass("IosMslClient");
+    if (cls) {
+        MSHookMessageEx(cls, @selector(setDidAppboot:),
+                        (IMP)hook_setDidAppboot, (IMP *)&orig_setDidAppboot);
+        file_log(@"[+] setDidAppboot: hooked");
+        NFXKEY_LOG("  [+] setDidAppboot: hooked");
+    }
+
+    // Hook AES_set_encrypt_key / AES_set_decrypt_key from NFWebCrypto
+    void *nfwc = dlopen("@rpath/NFWebCrypto.framework/NFWebCrypto", RTLD_NOLOAD);
+    if (!nfwc) {
+        nfwc = dlopen("/usr/lib/libNFWebCrypto.dylib", RTLD_NOLOAD);
+    }
+    if (nfwc) {
+        void *aesEncKey = dlsym(nfwc, "AES_set_encrypt_key");
+        void *aesDecKey = dlsym(nfwc, "AES_set_decrypt_key");
+        void *hmacFn = dlsym(nfwc, "HMAC");
+
+        if (aesEncKey) {
+            MSHookFunction(aesEncKey, (void *)hook_AES_set_encrypt_key, (void **)&orig_AES_set_encrypt_key);
+            file_log(@"[+] AES_set_encrypt_key hooked");
+            NFXKEY_LOG("  [+] AES_set_encrypt_key hooked");
+        } else {
+            file_log(@"[-] AES_set_encrypt_key not found");
+        }
+
+        if (aesDecKey) {
+            MSHookFunction(aesDecKey, (void *)hook_AES_set_decrypt_key, (void **)&orig_AES_set_decrypt_key);
+            file_log(@"[+] AES_set_decrypt_key hooked");
+            NFXKEY_LOG("  [+] AES_set_decrypt_key hooked");
+        } else {
+            file_log(@"[-] AES_set_decrypt_key not found");
+        }
+
+        if (hmacFn) {
+            MSHookFunction(hmacFn, (void *)hook_HMAC, (void **)&orig_HMAC);
+            file_log(@"[+] HMAC hooked");
+            NFXKEY_LOG("  [+] HMAC hooked");
+        } else {
+            file_log(@"[-] HMAC not found");
+        }
+    } else {
+        file_log(@"[-] NFWebCrypto not loaded");
+        NFXKEY_LOG("  [-] NFWebCrypto not loaded");
+    }
+
+    NFXKEY_LOG("AppbootKeyExtract: done");
+}
diff --git a/packages/tweak/AppbootKeyExtract/control b/packages/tweak/AppbootKeyExtract/control
new file mode 100644
index 0000000..d17a902
--- /dev/null
+++ b/packages/tweak/AppbootKeyExtract/control
@@ -0,0 +1,9 @@
+Package: work.tkgstrator.appbootkeyextract
+Name: AppbootKeyExtract
+Version: 1.0.0
+Architecture: iphoneos-arm64
+Description: Netflix iOS appboot key extractor via Security.framework hooks
+Maintainer: NEVER KNOWS BEST
+Author: tkgstrator
+Section: Tweaks
+Depends: mobilesubstrate, dev.theos.orion14 (>= 1.0.1)