Che differenza c'è tra JA3 e JA4?

Entrambi creano un'impronta del lato client di un handshake TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS., ma JA4 tiene conto del comportamento dei browser moderni. JA3, pubblicato nel 2017, calcola un hash dei campi del ClientHello nell'ordine in cui compaiono. Dall'inizio del 2023 Chrome ha iniziato a mescolare l'ordine delle estensioni TLS a ogni connessione, il che cambia ogni volta il valore JA3 e lo rende molto meno utile per riconoscere i browser. JA4, pubblicato nel 2023, ordina i campi prima dell'hash, aggiunge la versione di TLS, il trasporto (TCP o QUIC) e il primo protocollo applicativo offerto, e produce una stringa leggibile le cui parti si confrontano separatamente. Nessuno dei due dimostra da solo un intento malevolo: molti programmi condividono un'impronta e un malware può imitare un browser. Servono a individuare un client che non si addice al dispositivo, come uno script che si spaccia per browser su un server. NetSenX calcola le impronte TLS dal piano Starter, con un'implementazione propria, dove il suo agente cattura i pacchetti: su Linux o come sensore SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo./TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore., non nella modalità di base su macOS.

← Tutte le 40 domande su Crittografia e traffico cifratoTutti i temi