AION Surf Zaloguj przez Aion ID
Menu

Sieć i TLS

JA3 i JA4: fingerprint TLS

JA3 (Salesforce) i JA4 (FoxIO) to skróty parametrów ClientHello TLS: wersja, cipher suites, rozszerzenia, krzywe, formaty punktów (i w JA4 także ALPN, SNI presence, kolejność).

Andrzej Niemiec

Definicja

Ten sam klient TLS daje ten sam hash; biblioteki (OpenSSL, Go crypto/tls, Python) różnią się od Chrome/Firefox.

Jak działa

Przy TLS handshake serwer (lub TAP) wyciąga pola ClientHello, kanonikalizuje i haszuje. JA3 to MD5 złączonych pól; JA4 to czytelniejszy, częściowo sorted fingerprint odporniejszy na drobne przestawienia. Porównanie z bazą „browser vs script”.

Przykład

Ruch deklarujący Chrome, ale JA3 zgodny z domyślnym Python urllib3/OpenSSL — flaga automatu jeszcze przed pierwszym bajtem HTTP.

W Aion Surf

Surf podkreśla, że spójność zaczyna się od stosu TLS przeglądarki, nie od samego JS. Hasło JA3/JA4 tłumaczy sygnał sieciowy bez instrukcji podszywania ClientHello.

Jak robi to Falcon

Powiązane hasła

  • Fingerprint HTTP/2: Fingerprint HTTP/2 obejmuje SETTINGS, kolejność i wartości okien, PRIORITY/PRIORITY_UPDATE, pseudo-nagłówki (:method, :path…) oraz zachowanie CONTINUATION.
  • HTTP/3 i QUIC: HTTP/3 działa nad QUIC (UDP): łączy transport, TLS 1.3 i multipleksację strumieni.
  • Warstwy detekcji ruchu: Warstwy detekcji to model obrony „w głąb”: IP/ASN i reputacja, TLS (JA3/JA4), HTTP/2–3 i kolejność nagłówków, JS fingerprint, zachowanie (mysz, timing), wyzwania (CAPTCHA, PoW) oraz sygnały po stronie aplikacji.
  • Spójność profilu (coherence): Spójność profilu (coherence) to zgodność wszystkich warstw tożsamości przeglądarki: UA/Client Hints, platforma, WebGL/GPU, czcionki, strefa czasowa, język, IP/ASN, TLS i zachowanie.
  • p0f — pasywny fingerprint TCP/IP: p0f (passive OS fingerprinting, lcamtuf) zgaduje system operacyjny i stos TCP po cechach pakietów: TTL, window size, opcje TCP (order, timestamps, SACK), DF bit — bez aktywnego skanowania.

Źródła