Spiegazione dell'impronta TLS: cosa rivelano JA3 e JA4 sul tuo browser

Cos'è un TLS Fingerprint?

Ogni volta che il tuo browser si connette a un sito web tramite HTTPS, inizia con un handshake TLS — un processo di negoziazione in cui il tuo browser e il server si accordano sulle impostazioni di crittografia. Durante questo handshake, il tuo browser invia un messaggio ClientHello che elenca le suite di cifratura supportate, le estensioni TLS e altre capacità in un ordine specifico. Questa combinazione di valori costituisce il tuo TLS fingerprint. Per una panoramica strategica su dove si colloca il TLS nel più ampio quadro del fingerprinting, consulta la nostra guida completa al browser fingerprinting.

Il TLS fingerprinting ha una caratteristica particolarmente potente: avviene a livello di rete, prima che qualsiasi protezione della privacy a livello applicativo (come VPN, proxy o impostazioni di privacy del browser) possa intervenire.

JA3: Il Metodo Standard di TLS Fingerprinting

JA3 è un algoritmo di TLS fingerprinting ampiamente utilizzato, sviluppato dai ricercatori di Salesforce nel 2017. Crea un hash MD5 a partire da cinque campi del messaggio ClientHello: numero della versione TLS, suite di cifratura, estensioni TLS, curve ellittiche e formati dei punti delle curve ellittiche.

Tutti gli utenti di Chrome 124 su Windows producono lo stesso hash JA3. Questo rende JA3 particolarmente utile per identificare i tipi di browser e rilevare traffico anomalo piuttosto che tracciare singoli utenti.

JA4: L'Evoluzione Moderna

JA4 è un metodo di TLS fingerprinting di nuova generazione sviluppato nel 2023. Miglioramenti chiave rispetto a JA3:

Suite di cifratura ordinate: Rende l'impronta digitale stabile tra gli aggiornamenti delle librerie TLS.
Gestione dell'estensione ALPN: Identifica il protocollo applicativo negoziato (HTTP/1.1, HTTP/2, HTTP/3).
Formato leggibile dall'uomo: Parzialmente leggibile senza bisogno di una tabella di consultazione.

Chi Utilizza il TLS Fingerprinting?

CDN e Protezione DDoS

Cloudflare, Akamai e Fastly utilizzano il TLS fingerprinting per distinguere i browser legittimi dai bot. Una richiesta che dichiara di essere Chrome 124 ma presenta un TLS fingerprint diverso è probabilmente proveniente da uno strumento automatizzato.

Sorveglianza di Rete

Poiché il ClientHello non è crittografato, gli ISP e i sistemi di sorveglianza governativi possono eseguire il fingerprinting di tutte le connessioni TLS sulla loro rete senza decrittografare il traffico.

Come il TLS Fingerprinting Differisce dal Browser Fingerprinting

Il browser fingerprinting avviene a livello applicativo — JavaScript in esecuzione nel tuo browser. Il TLS fingerprinting avviene a livello di rete, prima che venga eseguito il codice applicativo del tuo browser. Non può essere bloccato da estensioni del browser, impostazioni di privacy o restrizioni JavaScript. Anche il Tor Browser ha un TLS fingerprint. Anche una VPN non modifica il tuo TLS fingerprint.

Riepilogo

Il TLS fingerprinting cattura la firma unica del tuo browser durante l'handshake TLS — prima che venga stabilita qualsiasi crittografia. JA3 e JA4 sono i metodi standard, ampiamente utilizzati negli strumenti di sicurezza, nel rilevamento dei bot e nella sorveglianza di rete. A differenza del browser fingerprinting, il TLS fingerprinting non può essere bloccato dalle impostazioni o dalle estensioni del browser.

Parte della rete Vatha.