Empreinte JA3

JA3 est un moyen populaire de calculer un empreinte TLS. Il recueille des champs spécifiques du ClientHello du client — la version TLS, la liste ordonnée des suites de chiffrement, les extensions, les courbes elliptiques et leurs formats de point — les concatène et hache le résultat en une courte chaîne MD5. Comme différents clients ordonnent et remplissent ces champs de manière distincte, le hachage JA3 agit comme une signature : de nombreuses installations de Chrome partagent une valeur, une bibliothèque HTTP Python donnée en partage une autre. Le pendant côté serveur, JA3S, empreinte la réponse du serveur.

Les plateformes de sécurité et anti-bot conservent des bibliothèques de hachages JA3 pour les navigateurs, outils et logiciels malveillants connus, puis comparent les connexions entrantes avec eux. Une requête dont le JA3 indique "bibliothèque de scripts" mais dont le User-Agent indique \"Chrome\" est signalée comme incohérente. JA3 a une faiblesse connue — l'ordre des extensions TLS peut varier — ce qui a motivé le plus robuste JA4. N'oubliez pas que changer votre IP de sortie avec un proxy laisse JA3 intact ; seul le client qui établit la poignée de main le détermine, donc mélangez les mesures au niveau du réseau et du client si une cible inspecte les deux.

En pratique, si une cible inspecte JA3, vous ne pouvez pas le corriger en changeant d'IP — un proxy laisse le hachage intact. Ce qui importe, c'est que le client construisant la poignée de main ressemble au navigateur que vous prétendez être, et que votre User-Agent, JA3 et comportement soient cohérents. Parce que la faiblesse de l'ordre des extensions de JA3 a conduit à JA4, attendez-vous à ce que les sites stricts vérifient également le nouveau schéma, donc visez un logiciel de qualité navigateur authentique plutôt qu'un en-tête superficiellement falsifié.