AION Surf Zaloguj przez Aion ID
Menu

Sieć i TLS

Fingerprint HTTP/2: co to jest i jak działa

Fingerprint HTTP/2 obejmuje SETTINGS, kolejność i wartości okien, PRIORITY/PRIORITY_UPDATE, pseudo-nagłówki (:method, :path…) oraz zachowanie CONTINUATION.

Andrzej Niemiec

Definicja

Klienty HTTP (curl, Go net/http, przeglądarki) różnią się domyślnymi SETTINGS — niezależnie od treści User-Agent.

Jak działa

Po ALPN h2 serwer loguje ramki początkowe. Hash z SETTINGS + kolejności HEADER fields jest porównywany z profilami Chrome/Firefox/Safari. HTTP/2 fingerprint często idzie w parze z JA3/JA4.

Przykład

SETTINGS_HEADER_TABLE_SIZE i INITIAL_WINDOW_SIZE jak w Go, przy Sec-CH-UA Chrome — niespójność stosu HTTP/2 vs deklarowanej przeglądarki.

W Aion Surf

W Surfie HTTP/2 to warstwa sieciowa mapy detekcji. Opisujemy różnice klientów; nie podajemy gotowych paczek SETTINGS do fałszerstwa.

Jak robi to Falcon

Powiązane hasła

  • JA3 / JA4 — fingerprint TLS: JA3 (Salesforce) i JA4 (FoxIO) to skróty parametrów ClientHello TLS: wersja, cipher suites, rozszerzenia, krzywe, formaty punktów (i w JA4 także ALPN, SNI presence, kolejność).
  • Kolejność nagłówków HTTP: Kolejność nagłówków HTTP/1.1 (i kolejność pól w HTTP/2) jest charakterystyczna dla klienta: przeglądarki wysyłają Host, Connection, User-Agent, Accept… w ustalonym porządku; skrypty i biblioteki często alfabetycznie lub w kolejności insertów.
  • HTTP/3 i QUIC: HTTP/3 działa nad QUIC (UDP): łączy transport, TLS 1.3 i multipleksację strumieni.
  • Warstwy detekcji ruchu: Warstwy detekcji to model obrony „w głąb”: IP/ASN i reputacja, TLS (JA3/JA4), HTTP/2–3 i kolejność nagłówków, JS fingerprint, zachowanie (mysz, timing), wyzwania (CAPTCHA, PoW) oraz sygnały po stronie aplikacji.

Źródła