Poignée de main TLS

Le handshake TLS est la phase de configuration de chaque connexion HTTPS. Dans celle-ci, le client et le serveur s'accordent sur une version de protocole et un chiffre, le serveur prouve son identité avec un certificat, et les deux établissent les clés partagées qui vont chiffrer le reste de la session — idéalement avec une parfaite confidentialité à long terme afin que ces clés soient éphémères. TLS 1.3 a rationalisé le processus à aussi peu qu'un aller-retour. Ce n'est qu'après la fin du handshake que les données d'application réelles circulent, entièrement chiffrées, ce qui explique pourquoi le handshake est la fondation de la sécurité web.

La poignée de main est également une riche source d'identité. Le ClientHello d'ouverture du client liste ses chiffrements, extensions et versions supportés dans un ordre qui varie selon le logiciel, et ce modèle est exactement ce qu'un empreinte TLS — encodée en JA3 ou JA4 — capture. Ainsi, la même poignée de main qui sécurise vos données peut également révéler quel client l'a effectuée. Un proxy relaie la poignée de main sans modification et ne change que votre IP ; l'empreinte est définie par votre client, c'est pourquoi faire correspondre la poignée de main d'un vrai navigateur est un problème de logiciel client, pas de réseau.

L'échange de clés détermine également votre empreinte TLS, donc la même négociation qui sécurise vos données peut révéler quel client l'a effectuée via JA3 ou JA4. Un proxy relaie l'échange de clés sans modification et ne change que votre IP, ce qui signifie que le contrôle de l'empreinte est un problème de logiciel client. Pour l'automatisation, utilisez un logiciel qui négocie TLS comme un vrai navigateur et gardez votre User-Agent cohérent avec celui-ci, afin qu'un serveur strict voie une histoire cohérente plutôt qu'une contradiction.