#### macOS

1. [Scarica](https://www.wireshark.org/download.html) e installa Wireshark (include `tshark`).
2. Aggiungi `tshark` al tuo `PATH`:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. Il workflow GitHub Actions corrispondente verrà eseguito e pubblicherà automaticamente gli asset della release. Per Zeek, la release apparirà su [packages.zeek.org](https://packages.zeek.org/).

## Dettagli su JA4+

JA4+ è un insieme di fingerprint di rete semplici ma potenti per più protocolli, sia leggibili dall'uomo che dalla macchina, che facilita un miglior threat-hunting e un'analisi di sicurezza più efficace. Se non hai familiarità con il fingerprinting di rete, ti incoraggio a leggere i miei blog sulla pubblicazione di JA3 [qui](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [qui](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), e questo eccellente blog di Fastly sullo [Stato del Fingerprinting TLS](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) che delinea la storia dei suddetti insieme ai loro problemi. JA4+ offre un supporto dedicato, mantenendo i metodi aggiornati man mano che il settore evolve.

Tutti i fingerprint JA4+ hanno un formato a_b_c, che delimita le diverse sezioni che compongono il fingerprint. Ciò consente di effettuare ricerche e rilevamenti utilizzando solo ab o ac o solo c. Se si volesse fare un'analisi solo sui cookie in ingresso nella propria applicazione, si guarderebbe solo a JA4H_c. Questo nuovo formato che preserva la località facilita un'analisi più profonda e ricca, rimanendo al contempo semplice, facile da usare e consentendo l'estensibilità.

Ad esempio, GreyNoise è un ascoltatore internet che identifica gli scanner internet e sta implementando JA4+ nel proprio prodotto. Hanno un attore che scansiona internet con un singolo cipher TLS in continua evoluzione. Questo genera una quantità enorme di fingerprint JA3 completamente diversi, ma con JA4, solo la parte b del fingerprint JA4 cambia, mentre le parti a e c rimangono le stesse. Pertanto, GreyNoise può tracciare l'attore guardando il fingerprint JA4_ac (unendo a+c, eliminando b).

Per un elenco dei metodi JA4+ e delle loro descrizioni, vedi [Metodi attuali e dettagli di implementazione](#current-methods-and-implementation-details).

Per capire come leggere i fingerprint JA4+, vedi [Dettagli tecnici](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Licenza

*JA4: TLS Client Fingerprinting* è [open-source, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), come JA3. FoxIO non ha rivendicazioni di brevetto e non prevede di perseguire una copertura brevettuale per JA4 TLS Client Fingerprinting. Ciò consente a qualsiasi azienda o strumento che attualmente utilizza JA3 di passare immediatamente a JA4 senza ritardi.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N e tutte le future aggiunte (collettivamente denominate JA4+)** sono in attesa di brevetto e concessi in licenza sotto la [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE). Questa licenza è permissiva per la maggior parte dei casi d'uso, inclusi scopi accademici e interni aziendali, ma non è permissiva per la monetizzazione. Se, ad esempio, un'azienda volesse utilizzare JA4+ internamente per contribuire a proteggere la propria azienda, ciò è consentito. Se, ad esempio, un fornitore volesse vendere il fingerprinting JA4+ come parte della propria offerta di prodotti, dovrebbe richiederci una licenza OEM.

JA4+ è un marchio di FoxIO

JA4+ può essere ed è implementato in strumenti open source, vedi le [FAQ sulla licenza](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) per i dettagli.

Questa licenza ci consente di fornire JA4+ al mondo in modo aperto e immediatamente utilizzabile, ma ci fornisce anche un modo per finanziare il supporto continuo, la ricerca su nuovi metodi e lo sviluppo del Database JA4+. Vogliamo che tutti abbiano la possibilità di utilizzare JA4+ e siamo felici di collaborare con fornitori e progetti open source per contribuire a realizzare questo obiettivo.

## Domande e risposte

D: Perché ordinate i cipher? L'ordine non ha importanza?  
R: Sì, ma nella nostra ricerca abbiamo scoperto che le applicazioni e le librerie scelgono un elenco di cipher unico più che un ordinamento unico. Questo riduce anche l'efficacia del "cipher stunting", una tattica di randomizzazione dell'ordine dei cipher per prevenire il rilevamento JA3.

D: Perché ordinate le estensioni?  
R: All'inizio del 2023, Google ha [aggiornato i browser Chromium](https://chromestatus.com/feature/5124606246518784) per randomizzare l'ordine delle loro estensioni. Proprio come il cipher stunting, questa era una tattica per prevenire il rilevamento JA3 e "rendere l'ecosistema TLS più robusto ai cambiamenti". Google temeva che gli implementatori di server assumessero che il fingerprint di Chrome non sarebbe mai cambiato e finissero per costruire logica attorno ad esso, il che avrebbe causato problemi ogni volta che Google avesse aggiornato Chrome.

Quindi voglio essere chiaro: i fingerprint JA4 cambieranno man mano che le librerie TLS delle applicazioni vengono aggiornate, circa una volta all'anno. Non dare per scontato che i fingerprint rimangano costanti in un ambiente in cui le applicazioni vengono aggiornate. In ogni caso, l'ordinamento delle estensioni aggira questo problema e l'aggiunta degli Algorithmi di Firma preserva l'unicità.

D: TLS 1.3 non rende più difficile il fingerprinting dei client TLS?  
R: No, lo rende più facile! Dal TLS 1.3, i client hanno un insieme molto più ampio di estensioni e anche se TLS 1.3 supporta solo pochi cipher, i browser e le applicazioni ne supportano ancora molti di più.

## JA4+ è stato creato da

[John Althouse](https://www.linkedin.com/in/johnalthouse/), con feedback di:

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

E ingegneri che lavorano presso GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet e altri.

Contatta John Althouse all'indirizzo [email protected] per licenze e domande.

<sub>JA4 e JA4+ sono marchi di FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>