Huella JA3

JA3 es una forma popular de calcular una huella digital TLS. Reúne campos específicos del ClientHello del cliente: la versión de TLS, la lista ordenada de suites de cifrado, las extensiones, las curvas elípticas y sus formatos de punto; los concatena y hashea el resultado en una corta cadena MD5. Debido a que diferentes clientes ordenan y completan estos campos de manera distintiva, el hash JA3 actúa como una firma: muchas instalaciones de Chrome comparten un valor, una determinada biblioteca HTTP de Python comparte otro. El contraparte del lado del servidor, JA3S, toma la huella digital de la respuesta del servidor.

Las plataformas de seguridad y anti-bot mantienen bibliotecas de hashes JA3 para navegadores, herramientas y malware conocidos, y luego comparan las conexiones entrantes con ellos. Una solicitud cuyo JA3 dice "biblioteca de scripting" pero cuyo User-Agent dice \"Chrome\" se marca como inconsistente. JA3 tiene una debilidad conocida: el orden de las extensiones TLS puede variar, lo que motivó el más robusto JA4. Recuerda que cambiar tu IP de salida con un proxy deja JA3 intacto; solo el cliente que construye el apretón de manos lo determina, así que combina medidas de capa de red y de capa de cliente si un objetivo inspecciona ambas.

En la práctica, si un objetivo inspecciona JA3 no puedes solucionarlo cambiando IPs — un proxy deja el hash intacto. Lo que importa es que el cliente que construye el apretón de manos se asemeje al navegador que afirmas ser, y que tu User-Agent, JA3 y comportamiento coincidan. Debido a que la debilidad en el orden de extensión de JA3 llevó a JA4, espera que los sitios estrictos también verifiquen el nuevo esquema, así que apunta a software genuino de nivel navegador en lugar de un encabezado superficialmente falsificado.