Czym różni się JA3 od JA4?

Oba tworzą odcisk strony klienta w handshake'u TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS., ale JA4 radzi sobie z zachowaniem nowoczesnych przeglądarek. JA3, opublikowany w 2017 r., haszuje pola ClientHello w kolejności, w jakiej występują. Od początku 2023 r. Chrome zaczął losowo zmieniać kolejność rozszerzeń TLS przy każdym połączeniu, co za każdym razem zmienia wartość JA3 i czyni ją znacznie mniej przydatną do rozpoznawania przeglądarek. JA4, opublikowany w 2023 r., sortuje pola przed haszowaniem, dodaje wersję TLS, transport (TCP lub QUIC) i pierwszy oferowany protokół aplikacji oraz tworzy czytelny ciąg, którego części można porównywać osobno. Żaden z nich sam w sobie nie dowodzi złych zamiarów: wiele programów ma ten sam odcisk, a malware może udawać przeglądarkę. Przydają się do wychwycenia klienta, który nie pasuje do urządzenia, na przykład skryptu udającego przeglądarkę na serwerze. NetSenX wylicza odciski TLS od planu Starter, we własnej implementacji, tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor./TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora., nie w trybie podstawowym na macOS.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy