TLS-рукопожатие

TLS-рукопожатие — это фаза настройки каждого HTTPS-соединения. В ней клиент и сервер согласуют версию протокола и шифр, сервер подтверждает свою подлинность, обычно с помощью сертификата, и оба устанавливают общие ключи, которые будут шифровать остаток сессии — в идеале с совершенной прямой секретностью, чтобы эти ключи были эфемерными. TLS 1.3 упростил процесс до одного цикла обмена. При возобновлении сессии TLS 1.3 необязательные ранние данные (0-RTT) могут отправляться до завершения рукопожатия. У них слабее защита от повторного воспроизведения, поэтому их следует ограничивать запросами, которые можно безопасно повторить.

Стандарт протокола: RFC 8446, 2.3.

Рукопожатие также является богатым источником идентичности. Начальный ClientHello клиента перечисляет поддерживаемые шифры, расширения и версии в порядке, зависящем от программного обеспечения, и именно этот паттерн фиксирует TLS-отпечаток, закодированный как JA3 или JA4. Так что то же рукопожатие, что защищает ваши данные, может и выдать, какой клиент его выполнил. Прокси передаёт рукопожатие без изменений и меняет только ваш IP; отпечаток задаёт ваш клиент, и именно поэтому воспроизведение рукопожатия настоящего браузера — это задача клиентского ПО, а не сети.

Рукопожатие также определяет ваш TLS-отпечаток, поэтому то же согласование, что защищает ваши данные, может выдать, какой клиент его выполнил, через JA3 или JA4. Прокси передаёт рукопожатие без изменений и меняет только ваш IP, то есть контроль над отпечатком — это задача клиентского ПО. Для автоматизации используйте ПО, которое согласует TLS как настоящий браузер, и держите свой User-Agent согласованным с ним, чтобы строгий сервер видел одну целостную историю, а не противоречие.