Impronta JA3

JA3 è un modo popolare per calcolare un fingerprint TLS. Raccoglie campi specifici dal ClientHello del client — la versione TLS, l'elenco ordinato delle suite di cifratura, le estensioni, le curve ellittiche e i loro formati di punto — li concatena e calcola l'hash del risultato in una breve stringa MD5. Poiché i diversi client ordinano e popolano questi campi in modo distintivo, l'hash JA3 funge da firma: molte installazioni di Chrome condividono un valore, una data libreria HTTP Python ne condivide un altro. Il corrispondente lato server, JA3S, fingerprinta la risposta del server.

Le piattaforme di sicurezza e anti-bot mantengono librerie di hash JA3 per browser, strumenti e malware noti, quindi confrontano le connessioni in arrivo con esse. Una richiesta il cui JA3 dice "libreria di scripting" ma il cui User-Agent dice \"Chrome\" viene segnalata come incoerente. JA3 ha una debolezza nota: l'ordine delle estensioni TLS può variare, il che ha motivato il più robusto JA4. Ricorda che cambiare il tuo IP di uscita con un proxy lascia JA3 intatto; solo il client che costruisce il handshake lo determina, quindi combina misure a livello di rete e a livello di client se un obiettivo ispeziona entrambi.

In pratica, se un obiettivo ispeziona JA3 non puoi risolverlo cambiando IP — un proxy lascia l'hash intatto. Ciò che conta è che il client che costruisce il handshake somigli al browser che affermi di essere, e che il tuo User-Agent, JA3 e comportamento siano coerenti. Poiché la vulnerabilità nell'ordine delle estensioni di JA3 ha portato a JA4, aspettati che i siti rigorosi controllino anche il nuovo schema, quindi punta a software di qualità browser piuttosto che a un'intestazione superficialmente falsificata.