TLS-Fingerabdruck erklärt: Was JA3 und JA4 über Ihren Browser verraten

Was ist ein TLS-Fingerabdruck?

Jedes Mal, wenn Ihr Browser eine Verbindung zu einer Website über HTTPS herstellt, beginnt dies mit einem TLS-Handshake – einem Verhandlungsprozess, bei dem Ihr Browser und der Server sich auf Verschlüsselungseinstellungen einigen. Während dieses Handshakes sendet Ihr Browser eine ClientHello-Nachricht, die die unterstützten Verschlüsselungssuiten, TLS-Erweiterungen und andere Fähigkeiten in einer bestimmten Reihenfolge auflistet. Diese Kombination von Werten ist Ihr TLS-Fingerabdruck. Für einen strategischen Überblick, wo TLS im größeren Kontext der Fingerprinting-Methoden steht, lesen Sie unseren vollständigen Leitfaden zum Browser-Fingerprinting.

TLS-Fingerprinting hat eine einzigartig mächtige Eigenschaft: Es findet auf Netzwerkebene statt, bevor irgendein Schutz auf Anwendungsebene (wie VPNs, Proxys oder Browsereinstellungen zum Datenschutz) eingreifen kann.

JA3: Die Standardmethode für TLS-Fingerprinting

JA3 ist ein weit verbreiteter TLS-Fingerprinting-Algorithmus, der 2017 von Salesforce-Forschern entwickelt wurde. Er erstellt einen MD5-Hash aus fünf Feldern in der ClientHello-Nachricht: TLS-Versionsnummer, Verschlüsselungssuiten, TLS-Erweiterungen, elliptische Kurven und Formate für Punkte elliptischer Kurven.

Alle Chrome-124-Nutzer unter Windows erzeugen denselben JA3-Hash. Dies macht JA3 besonders nützlich für die Identifizierung von Browsertypen und die Erkennung anomalen Datenverkehrs, anstatt einzelne Nutzer zu verfolgen.

JA4: Die moderne Weiterentwicklung

JA4 ist eine TLS-Fingerprinting-Methode der nächsten Generation, die 2023 entwickelt wurde. Wichtige Verbesserungen gegenüber JA3:

• Sortierte Verschlüsselungssuiten: Macht den Fingerabdruck stabil über Updates von TLS-Bibliotheken hinweg.
• Behandlung der ALPN-Erweiterung: Identifiziert das verhandelte Anwendungsprotokoll (HTTP/1.1, HTTP/2, HTTP/3).
• Menschenlesbares Format: Teilweise ohne Nachschlagetabelle lesbar.

Wer nutzt TLS-Fingerprinting?

CDNs und DDoS-Schutz

Cloudflare, Akamai und Fastly verwenden TLS-Fingerprinting, um legitime Browser von Bots zu unterscheiden. Eine Anfrage, die behauptet, von Chrome 124 zu stammen, aber einen anderen TLS-Fingerabdruck aufweist, stammt wahrscheinlich von einem automatisierten Tool.

Netzwerküberwachung

Da die ClientHello-Nachricht unverschlüsselt ist, können Internetdienstanbieter (ISPs) und staatliche Überwachungssysteme alle TLS-Verbindungen in ihrem Netzwerk fingerprinten, ohne den Datenverkehr zu entschlüsseln.

Wie sich TLS-Fingerprinting von Browser-Fingerprinting unterscheidet

Browser-Fingerprinting findet auf der Anwendungsebene statt – JavaScript, das in Ihrem Browser läuft. TLS-Fingerprinting erfolgt auf der Netzwerkebene, bevor der Anwendungscode Ihres Browsers ausgeführt wird. Es kann nicht durch Browser-Erweiterungen, Datenschutzeinstellungen oder JavaScript-Einschränkungen blockiert werden. Selbst der Tor-Browser hat einen TLS-Fingerabdruck. Selbst ein VPN ändert Ihren TLS-Fingerabdruck nicht.

Zusammenfassung

TLS-Fingerprinting erfasst die einzigartige Signatur Ihres Browsers aus dem TLS-Handshake – noch bevor eine Verschlüsselung hergestellt wird. JA3 und JA4 sind die Standardmethoden, die in Sicherheits-Tools, Bot-Erkennung und Netzwerküberwachung weit verbreitet sind. Im Gegensatz zum Browser-Fingerprinting kann TLS-Fingerprinting nicht durch Browsereinstellungen oder Erweiterungen blockiert werden.

Teil des Vatha-Netzwerks.