AION Surf Zaloguj przez Aion ID
Menu

Sieć i TLS

p0f: pasywny fingerprint TCP/IP

p0f (passive OS fingerprinting, lcamtuf) zgaduje system operacyjny i stos TCP po cechach pakietów: TTL, window size, opcje TCP (order, timestamps, SACK), DF bit — bez aktywnego skanowania.

Andrzej Niemiec

Definicja

Współczesne WAF/CDN mają analogiczne klasyfikatory TCP/IP obok JA3.

Jak działa

Sniffer czyta SYN/SYN-ACK, mapuje na sygnatury OS. Niespójność „TCP jak Linux” + „UA Windows” jest sygnałem. NAT i middleboxy zniekształcają wynik; mimo to p0f-like signals pozostają w toolboxie edge.

Przykład

TLS/JA3 jak Chrome na Windows, ale TCP window/opcje typowe dla stosu Linux w kontenerze — podejrzenie automatu w VM/kontenerze.

W Aion Surf

Hasło tłumaczy pasywną warstwę OS fingerprint w mapie Surfa. Uzupełnia JA3: spójność musi sięgać poniżej TLS.

Jak robi to Falcon

Powiązane hasła

  • JA3 / JA4 — fingerprint TLS: JA3 (Salesforce) i JA4 (FoxIO) to skróty parametrów ClientHello TLS: wersja, cipher suites, rozszerzenia, krzywe, formaty punktów (i w JA4 także ALPN, SNI presence, kolejność).
  • Warstwy detekcji ruchu: Warstwy detekcji to model obrony „w głąb”: IP/ASN i reputacja, TLS (JA3/JA4), HTTP/2–3 i kolejność nagłówków, JS fingerprint, zachowanie (mysz, timing), wyzwania (CAPTCHA, PoW) oraz sygnały po stronie aplikacji.
  • Spójność profilu (coherence): Spójność profilu (coherence) to zgodność wszystkich warstw tożsamości przeglądarki: UA/Client Hints, platforma, WebGL/GPU, czcionki, strefa czasowa, język, IP/ASN, TLS i zachowanie.
  • Wykrywanie trybu headless: Wykrywanie headless to zestaw testów na Chrome/Edge/Firefox bez UI: User-Agent HeadlessChrome (dawniej), brak window.chrome.app, WebGL SwiftShader, plugins.length===0, Notification.permission anomalia, brak periferiów.

Źródła