#### macOS

1. [Laden Sie](https://www.wireshark.org/download.html) Wireshark herunter und installieren Sie es (enthält `tshark`).
2. Fügen Sie `tshark` zu Ihrem `PATH` hinzu:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. Der entsprechende GitHub-Actions-Workflow wird ausgeführt und veröffentlicht die Release-Assets automatisch. Für Zeek erscheint das Release auf [packages.zeek.org](https://packages.zeek.org/).

## JA4+ Details

JA4+ ist eine Reihe einfacher, aber leistungsstarker Netzwerk-Fingerprints für mehrere Protokolle, die sowohl für Menschen als auch für Maschinen lesbar sind und so eine verbesserte Bedrohungssuche und Sicherheitsanalyse ermöglichen. Wenn Sie mit Netzwerk-Fingerprinting nicht vertraut sind, empfehle ich Ihnen, meine Blogs zur Veröffentlichung von JA3 [hier](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [hier](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a) und diesen hervorragenden Blog von Fastly über den [State of TLS Fingerprinting](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) zu lesen, der die Geschichte der zuvor genannten Methoden sowie deren Probleme beschreibt. JA4+ bietet dedizierte Unterstützung und hält die Methoden aktuell, während sich die Branche verändert.

Alle JA4+-Fingerprints haben ein a_b_c-Format, das die verschiedenen Abschnitte des Fingerprints voneinander abgrenzt. Dies ermöglicht die Suche und Erkennung nur mit ab oder ac oder nur c. Wenn jemand nur die eingehenden Cookies in seiner App analysieren möchte, würde er nur auf JA4H_c schauen. Dieses neue lokalitätserhaltende Format ermöglicht tiefere und reichhaltigere Analysen, bleibt dabei aber einfach, benutzerfreundlich und erweiterbar.

GreyNoise ist beispielsweise ein Internet-Listener, der Internet-Scanner identifiziert und JA4+ in sein Produkt implementiert. Sie haben einen Akteur, der das Internet mit einem sich ständig ändernden einzelnen TLS-Cipher scannt. Dies erzeugt eine große Menge völlig unterschiedlicher JA3-Fingerprints, aber mit JA4 ändert sich nur der b-Teil des JA4-Fingerprints, die Teile a und c bleiben gleich. Dadurch kann GreyNoise den Akteur verfolgen, indem es den JA4_ac-Fingerprint betrachtet (a+c kombiniert, b weggelassen).

Eine Liste der JA4+-Methoden und ihrer Beschreibungen finden Sie unter [Aktuelle Methoden und Implementierungsdetails](#current-methods-and-implementation-details).

Um zu verstehen, wie JA4+-Fingerprints gelesen werden, siehe [Technische Details](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Lizenzierung

*JA4: TLS Client Fingerprinting* ist [Open-Source, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), ebenso wie JA3. FoxIO hat keine Patentansprüche und plant nicht, Patentschutz für JA4 TLS Client Fingerprinting anzustreben. Dies ermöglicht jedem Unternehmen oder Tool, das derzeit JA3 verwendet, sofort ohne Verzögerung auf JA4 umzusteigen.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N und alle zukünftigen Ergänzungen (zusammen als JA4+ bezeichnet)** sind patentrechtlich angemeldet und unter der [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE) lizenziert. Diese Lizenz ist für die meisten Anwendungsfälle freizügig, einschließlich für akademische und interne geschäftliche Zwecke, jedoch nicht für die Monetarisierung. Wenn ein Unternehmen JA4+ beispielsweise intern nutzen möchte, um das eigene Unternehmen zu sichern, ist dies erlaubt. Wenn ein Anbieter JA4+-Fingerprinting als Teil seines Produktangebots verkaufen möchte, müsste er eine OEM-Lizenz von uns anfordern.

JA4+ ist eine Marke von FoxIO

JA4+ kann und wird in Open-Source-Tools implementiert, siehe [License FAQ](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) für Details.

Diese Lizenzierung ermöglicht es uns, JA4+ der Welt auf eine offene und sofort nutzbare Weise zur Verfügung zu stellen, bietet uns aber auch eine Möglichkeit, die fortlaufende Unterstützung, die Forschung zu neuen Methoden und die Entwicklung der JA4+-Datenbank zu finanzieren. Wir möchten, dass jeder die Möglichkeit hat, JA4+ zu nutzen, und arbeiten gerne mit Anbietern und Open-Source-Projekten zusammen, um dies zu ermöglichen.

## Fragen & Antworten

F: Warum sortiert ihr die Cipher? Spielt die Reihenfolge nicht eine Rolle?  
A: Das tut sie, aber in unserer Forschung haben wir festgestellt, dass Anwendungen und Bibliotheken eher eine eindeutige Cipher-Liste als eine eindeutige Reihenfolge wählen. Dies reduziert auch die Wirksamkeit von „Cipher Stunting“, einer Taktik, bei der die Cipher-Reihenfolge randomisiert wird, um die JA3-Erkennung zu verhindern.

F: Warum sortiert ihr die Erweiterungen?  
A: Anfang 2023 hat Google [Chromium-Browser aktualisiert](https://chromestatus.com/feature/5124606246518784), um die Reihenfolge ihrer Erweiterungen zu randomisieren. Ähnlich wie beim Cipher Stunting war dies eine Taktik, um die JA3-Erkennung zu verhindern und „das TLS-Ökosystem robuster gegenüber Änderungen zu machen“. Google befürchtete, dass Server-Implementierer annehmen würden, dass sich der Chrome-Fingerprint nie ändert, und daraufhin Logik darum herum aufbauen würden, was Probleme verursachen würde, wann immer Google Chrome aktualisiert.

Ich möchte also klarstellen: JA4-Fingerprints werden sich ändern, wenn Anwendungs-TLS-Bibliotheken aktualisiert werden, etwa einmal im Jahr. Gehen Sie nicht davon aus, dass Fingerprints in einer Umgebung, in der Anwendungen aktualisiert werden, konstant bleiben. In jedem Fall umgeht das Sortieren der Erweiterungen dieses Problem, und das Hinzufügen von Signaturalgorithmen bewahrt die Eindeutigkeit.

F: Macht TLS 1.3 das Fingerprinting von TLS-Clients nicht schwieriger?  
A: Nein, es macht es einfacher! Seit TLS 1.3 haben Clients eine viel größere Menge an Erweiterungen, und obwohl TLS 1.3 nur wenige Cipher unterstützt, unterstützen Browser und Anwendungen weiterhin viele mehr.

## JA4+ wurde erstellt von

[John Althouse](https://www.linkedin.com/in/johnalthouse/), mit Feedback von:

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

Und Ingenieuren, die bei GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet und anderen arbeiten.

Kontaktieren Sie John Althouse unter [email protected] für Lizenzierung und Fragen.

<sub>JA4 und JA4+ sind Marken von FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>