Impressão JA3

JA3 é uma maneira popular de calcular uma impressão digital TLS. Ele coleta campos específicos do ClientHello do cliente — a versão do TLS, a lista ordenada de suítes de cifra, as extensões, as curvas elípticas e seus formatos de ponto — os concatena e hash o resultado em uma string MD5 curta. Como diferentes clientes ordenam e preenchem esses campos de maneira distinta, o hash JA3 atua como uma assinatura: muitas instalações do Chrome compartilham um valor, uma determinada biblioteca HTTP do Python compartilha outro. O contraparte do lado do servidor, JA3S, imprime a resposta do servidor.

Plataformas de segurança e anti-bot mantêm bibliotecas de hashes JA3 para navegadores, ferramentas e malware conhecidos, e então comparam as conexões de entrada com elas. Um pedido cujo JA3 diz "biblioteca de scripts" mas cujo User-Agent diz \"Chrome\" é sinalizado como inconsistente. O JA3 tem uma fraqueza conhecida — a ordem da extensão TLS pode variar — o que motivou o JA4 mais robusto. Lembre-se de que mudar seu IP de saída com um proxy deixa o JA3 intacto; apenas o cliente que constrói o handshake o determina, então misture medidas de camada de rede e de camada de cliente se um alvo inspecionar ambos.

Na prática, se um alvo inspecionar o JA3, você não pode corrigir isso mudando os IPs — um proxy deixa o hash inalterado. O que importa é que o cliente que constrói o handshake se assemelhe ao navegador que você afirma ser, e que seu User-Agent, JA3 e comportamento concordem. Como a fraqueza na ordem de extensão do JA3 levou ao JA4, espere que sites rigorosos verifiquem o esquema mais novo também, então busque por software genuíno de nível de navegador em vez de um cabeçalho superficialmente falsificado.