JA4+™ Network Fingerprinting

JA4+ è una suite di metodi di fingerprinting di rete di FoxIO che sono facili da usare e da condividere. Questi metodi sono sia leggibili dall'uomo che dalla macchina per facilitare una caccia alle minacce e un'analisi più efficaci. I casi d'uso di queste impronte digitali includono la scansione di attori malintenzionati, il rilevamento di malware, la prevenzione del dirottamento di sessioni, l'automazione della conformità, il tracciamento della posizione, il rilevamento di DDoS, il raggruppamento di attori malintenzionati, il rilevamento di reverse shell e molti altri.

Per una rapida spiegazione su JA4+ e da usare come riferimento durante l'analisi vedi:
JA4+ Cheat Sheet

Per dettagli approfonditi, leggi i nostri blog su come funziona JA4+, perché funziona e esempi di cosa può essere rilevato/prevenuto con esso:
JA4+ Network Fingerprinting (JA4/S/H/L/X/SSH)
JA4T: TCP Fingerprinting (JA4T/TS/TScan)
Investigating Surfshark and NordVPN with JA4T (JA4T)

Se ami JA4+, considera di acquistare una maglietta o una felpa:
JA4+ Shirts, Hoodies, and Stickers

Table of contents

• Current methods and implementation details
• Implementations
• Tools that support JA4+
• Examples
• Plugins
• Binaries
  • Release Assets
  • Installing tshark
    • Linux
    • macOS
    • Windows
  • Running JA4+
• Database
• Release Process
  • How to Create a Release
• JA4+ Details
• Licensing
• Q&A
• JA4+ was created by

Current methods and implementation details

Il nome completo o il nome breve possono essere usati indifferentemente. Ulteriori metodi JA4+ sono in lavorazione...

Per capire come leggere le impronte digitali JA4+, vedi Dettagli Tecnici

Implementations

Questo repository include JA4+ in

• Python
• Rust
• C, come plugin Wireshark.
• Zeek

Tools that support JA4+

con altri in arrivo...

Examples

Per altri esempi, vedi ja4plus-mapping.csv
Per un database completo, vedi ja4db.com

Plugins

Wireshark
Zeek
Arkime

Binaries

I binari JA4 sono costruiti dall'implementazione Rust della suite. Per garantire la piena funzionalità, è richiesto tshark (versione 4.0.6 o successiva). Scarica gli ultimi binari JA4 dalla pagina Releases. Le versioni di rilascio per l'implementazione Rust seguono il Versionamento Semantico e sono contrassegnate come vX.Y.Z, a differenza dei rilasci dei plugin di Wireshark.

Release Assets

Gli asset di rilascio sono nominati in base al componente e alla piattaforma:

• Rust:
  • ja4-vX.Y.Z-<architettura>-<piattaforma>.tar.gz (ad es., ja4-v0.18.5-x86_64-unknown-linux-musl.tar.gz)
• Python:
  • ja4-python-vX.Y.Z.tar.gz (contiene l'intera directory python/)
• Wireshark:
  • ja4.so.linux, ja4.so.macos, ja4.dll (allegati a un rilascio nominato come wireshark-vX.Y.Z)

Scegli il file appropriato per il tuo sistema e componente.

Installing tshark

Linux

Installalo usando il tuo gestore di pacchetti (il nome del pacchetto tshark o wireshark-cli dipende dalla distribuzione). Per esempio, su Ubuntu:

sudo apt install tshark

macOS

1. Scarica e installa Wireshark (include tshark).
2. Aggiungi tshark al tuo PATH:
   root@kitploit:~

   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark
   

Windows

1. Scarica e installa Wireshark (include tshark.exe).
2. Trova tshark.exe (di solito in C:\Program Files\Wireshark\tshark.exe).
3. Aggiungi la cartella che contiene tshark.exe al tuo PATH di sistema:
   • Apri Proprietà del Sistema > Variabili d'Ambiente > Modifica Path.

Running JA4+

Una volta che tshark e i binari JA4+ sono disponibili, esegui JA4+ usando il seguente comando:

• Su Linux e macOS:
  root@kitploit:~

  ./ja4 [options] [pcap]
  

• Su Windows, apri il Prompt dei Comandi ed esegui:
  root@kitploit:~

  ja4 [options] [pcap]
  

Per maggiori dettagli sull'esecuzione di JA4+ e le sue configurazioni avanzate, fai riferimento al README dell'implementazione Rust, che fornisce informazioni sulle sue funzionalità, scenari di utilizzo e opzioni di personalizzazione.

Database

Il database ufficiale JA4+ delle impronte digitali, applicazioni associate e logica di rilevamento raccomandata è qui: ja4db.com
Questo database è in fase di sviluppo molto attivo. Aspettati ordini di grandezza in più di combinazioni di impronte e dati nei prossimi mesi.

Un campione ja4plus-mapping.csv è anche disponibile per un riferimento rapido.

Release Process

JA4+ utilizza GitHub Actions per automatizzare i rilasci per i suoi componenti Rust, Python, Wireshark e Zeek. I rilasci vengono creati spingendo un tag con un prefisso specifico nel repository, tranne per Zeek, che utilizza un tag di versione semantica pura (semver). Gli asset di rilascio sono nominati come segue:

• Rust: ja4-vX.Y.Z-<architettura>-<piattaforma>.tar.gz
• Python: ja4-python-vX.Y.Z.tar.gz
• Wireshark: ja4.so.linux, ja4.so.macos, ja4.dll (in un rilascio nominato come wireshark-vX.Y.Z)

I seguenti workflow sono disponibili:

• Rust Release:
  Spingi un tag che inizia con rust-, ad es., rust-v0.18.5, per attivare un rilascio dei binari Rust. Il workflow compilerà e caricherà automaticamente gli asset di rilascio.

• Python Release:
  Spingi un tag che inizia con python-, ad es., python-v0.1.0, per attivare un rilascio dell'implementazione Python. Il workflow creerà un tarball della directory python/ e lo pubblicherà come asset di rilascio.

• Wireshark Plugin Release:
  Spingi un tag che inizia con wireshark-, ad es., wireshark-v0.1.1, per attivare un rilascio dei binari del plugin Wireshark per tutte le piattaforme supportate.

• Zeek Release:
  Spingi un tag che è una versione semantica pura (ad es., v1.2.3), senza prefisso, per attivare un rilascio Zeek. Questo creerà automaticamente un rilascio su packages.zeek.org.

How to Create a Release

1. Assicurati che le tue modifiche siano state unite nel ramo main.

2. Crea e spingi un tag per il componente che vuoi rilasciare:

   • Per Rust, Python o Wireshark, usa il prefisso appropriato (ad es., rust-v0.18.5, python-v0.1.0, wireshark-v0.1.1).
   • Per Zeek, usa un tag semver puro (ad es., v1.2.3).

   Esempio:

   root@kitploit:~

   git tag v1.2.3
   git push origin v1.2.3
   

   (Per Zeek)

   Oppure, per Rust:

   root@kitploit:~

   git tag rust-v0.18.5
   git push origin rust-v0.18.5
   

3. Il corrispondente workflow GitHub Actions verrà eseguito e pubblicherà automaticamente gli asset di rilascio. Per Zeek, il rilascio apparirà su packages.zeek.org.

JA4+ Details

JA4+ è un insieme di impronte digitali di rete semplici ma potenti per più protocolli, sia leggibili dall'uomo che dalla macchina, facilitando una migliore caccia alle minacce e analisi di sicurezza. Se non hai familiarità con il fingerprinting di rete, ti incoraggio a leggere i miei blog sul rilascio di JA3 qui, JARM qui, e questo eccellente blog di Fastly sullo Stato del Fingerprinting TLS che delinea la storia dei suddetti insieme ai loro problemi. JA4+ offre supporto dedicato, mantenendo i metodi aggiornati man mano che il settore cambia.

Tutte le impronte digitali JA4+ hanno un formato a_b_c, delimitando le diverse sezioni che compongono l'impronta. Ciò consente di cacciare e rilevare utilizzando solo ab o ac o solo c. Se si volesse fare solo un'analisi dei cookie in arrivo nella propria applicazione, si guarderebbe solo JA4H_c. Questo nuovo formato che preserva la località facilita un'analisi più profonda e ricca pur rimanendo semplice, facile da usare e consentendo l'estensibilità.

Ad esempio, GreyNoise è un ascoltatore internet che identifica gli scanner internet e sta implementando JA4+ nel loro prodotto. Hanno un attore che scansiona internet con un singolo cifrario TLS in continua evoluzione. Questo genera una quantità enorme di impronte JA3 completamente diverse ma con JA4, solo la parte b dell'impronta JA4 cambia, le parti a e c rimangono le stesse. Pertanto, GreyNoise può tracciare l'attore guardando l'impronta JA4_ac (unendo a+c, eliminando b).

Per un elenco dei metodi JA4+ e delle loro descrizioni, vedi Metodi attuali e dettagli di implementazione.

Per capire come leggere le impronte digitali JA4+, vedi Dettagli Tecnici.

Licensing

JA4: TLS Client Fingerprinting è open-source, licenza BSD 3-Clause, come JA3. FoxIO non ha rivendicazioni di brevetto e non intende perseguire la copertura brevettuale per JA4 TLS Client Fingerprinting. Ciò consente a qualsiasi azienda o strumento che attualmente utilizza JA3 di aggiornarsi immediatamente a JA4 senza ritardi.

JA4S, JA4L, JA4LS, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan e tutte le future aggiunte, (collettivamente denominate JA4+) sono concessi in licenza secondo la FoxIO License 1.1. Questa licenza è permissiva per la maggior parte dei casi d'uso, inclusi scopi accademici e interni aziendali, ma non è permissiva per la monetizzazione. Se, ad esempio, un'azienda desidera utilizzare JA4+ internamente per aiutare a proteggere la propria azienda, è consentito. Se, ad esempio, un fornitore desidera vendere il fingerprinting JA4+ come parte della propria offerta di prodotti, dovrebbe richiederci una licenza OEM.

Tutti i metodi JA4+ sono in attesa di brevetto.
JA4+ è un marchio registrato di FoxIO

JA4+ può ed è in fase di implementazione in strumenti open source, vedi le FAQ sulla Licenza per i dettagli.

Questa licenza ci permette di fornire JA4+ al mondo in modo aperto e immediatamente utilizzabile, ma ci fornisce anche un modo per finanziare il supporto continuo, la ricerca di nuovi metodi e lo sviluppo del Database JA4+. Vogliamo che tutti abbiano la possibilità di utilizzare JA4+ e siamo felici di collaborare con fornitori e progetti open source per aiutare a realizzarlo.

Q&A

D: Perché ordinate i cifrari? L'ordine non è importante?
R: Lo è, ma nella nostra ricerca abbiamo scoperto che le applicazioni e le librerie scelgono una lista di cifrari unica più spesso di un ordinamento unico. Ciò riduce anche l'efficacia del "cipher stunting", una tattica di randomizzare l'ordinamento dei cifrari per prevenire il rilevamento JA3.

D: Perché ordinate le estensioni?
R: All'inizio del 2023, Google ha aggiornato i browser Chromium per randomizzare l'ordine delle loro estensioni. Proprio come il cipher stunting, questa era una tattica per prevenire il rilevamento JA3 e "rendere l'ecosistema TLS più robusto ai cambiamenti". Google temeva che gli implementatori di server assumessero che l'impronta di Chrome non sarebbe mai cambiata e finissero per costruire logica attorno ad essa, il che avrebbe causato problemi ogni volta che Google aggiornava Chrome.

Quindi voglio essere chiaro: le impronte JA4 cambieranno man mano che le librerie TLS delle applicazioni vengono aggiornate, circa una volta all'anno. Non presumere che le impronte rimangano costanti in un ambiente in cui le applicazioni vengono aggiornate. In ogni caso, ordinare le estensioni risolve questo problema e l'aggiunta degli Algoritmi di Firma preserva l'unicità.

D: TLS 1.3 non rende più difficile il fingerprinting dei client TLS?
R: No, lo rende più facile! Da TLS 1.3 in poi, i client hanno avuto un insieme molto più ampio di estensioni e, anche se TLS 1.3 supporta solo pochi cifrari, i browser e le applicazioni ne supportano ancora molti di più.

JA4+ was created by

John Althouse, con feedback da:

Josh Atkins
Jeff Atkinson
Joshua Alexander
W.
Joe Martin
Ben Higgins
Andrew Morris
Chris Ueland
Ben Schofield
Matthias Vallentin
Valeriy Vorotyntsev
Timothy Noel
Gary Lipsky

Michael Barbine

E da ingegneri che lavorano presso GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet e altri.

Contatta John Althouse all'indirizzo [email protected] per licenze e domande.

_{JA4 e JA4+ sono marchi registrati di FoxIO, Inc.
Copyright (c) 2025, FoxIO}