#### macOS

1. [ダウンロード](https://www.wireshark.org/download.html)してWiresharkをインストールします（`tshark`を含む）。
2. `tshark`を`PATH`に追加します：   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. 対応する GitHub Actions ワークフローが実行され、リリースアセットが自動的に公開されます。Zeek の場合、リリースは [packages.zeek.org](https://packages.zeek.org/) に表示されます。

## JA4+ の詳細

JA4+ は、複数のプロトコルに対応した、シンプルかつ強力なネットワークフィンガープリントのセットで、人間にも機械にも読みやすく、脅威ハンティングやセキュリティ分析の向上を促進します。ネットワークフィンガープリントに馴染みがない方は、JA3 を公開した私のブログ [こちら](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967)、JARM [こちら](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a)、そして Fastly による [TLS フィンガープリントの現状](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) に関する優れたブログを読むことをお勧めします。このブログでは、前述の手法の歴史とその問題点が概説されています。JA4+ は専用のサポートを提供し、業界の変化に合わせて手法を最新の状態に保ちます。

すべての JA4+ フィンガープリントは a_b_c 形式で、フィンガープリントを構成するさまざまなセクションを区切ります。これにより、ab のみ、ac のみ、または c のみを使用したハンティングと検出が可能になります。アプリに入ってくる Cookie のみを分析したい場合は、JA4H_c のみを確認します。この新しい局所性を保持する形式により、シンプルで使いやすく、拡張性を維持しながら、より深く豊かな分析が可能になります。

たとえば、GreyNoise はインターネットスキャナーを識別するインターネットリスナーであり、JA4+ を自社製品に実装しています。彼らは、絶えず変化する単一の TLS 暗号でインターネットをスキャンするアクターを持っています。これにより、まったく異なる JA3 フィンガープリントが大量に生成されますが、JA4 では、JA4 フィンガープリントの b 部分のみが変化し、a 部分と c 部分は同じままです。そのため、GreyNoise は JA4_ac フィンガープリント（a+c を結合し、b を除外）を確認することで、アクターを追跡できます。

JA4+ メソッドのリストとその説明については、[現在のメソッドと実装の詳細](#current-methods-and-implementation-details) を参照してください。

JA4+ フィンガープリントの読み方については、[技術詳細](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md) を参照してください。

## ライセンス

*JA4: TLS クライアントフィンガープリンティング* は、JA3 と同様に [オープンソース、BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4) です。FoxIO は特許請求を行っておらず、JA4 TLS クライアントフィンガープリンティングの特許取得を計画していません。これにより、現在 JA3 を利用している企業やツールは、遅延なくすぐに JA4 へアップグレードできます。

**JA4S、JA4L、JA4LS、JA4L-Delta、JA4H、JA4X、JA4SSH、JA4T、JA4TS、JA4TScan、JA4D、JA4D6、JA4Scan-TLS、JA4Scan-QUIC、JA4N および将来のすべての追加機能（総称して JA4+ と呼びます）** は、特許出願中であり、[FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE) の下でライセンスされています。このライセンスは、学術目的や社内業務目的を含むほとんどのユースケースで寛容ですが、収益化には寛容ではありません。たとえば、企業が自社のセキュリティ強化のために JA4+ を社内で使用したい場合は、それが許可されます。たとえば、ベンダーが自社の製品提供の一部として JA4+ フィンガープリンティングを販売したい場合は、当社に OEM ライセンスをリクエストする必要があります。

JA4+ は FoxIO の商標です。

JA4+ はオープンソースツールに実装されており、実装されつつあります。詳細については、[ライセンス FAQ](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) を参照してください。

このライセンスにより、JA4+ をオープンですぐに使用できる形で世界に提供できると同時に、継続的なサポート、新しいメソッドの研究、JA4+ データベースの開発に資金を提供する方法も得られます。私たちは、すべての人が JA4+ を利用できるようにしたいと考えており、ベンダーやオープンソースプロジェクトと協力してそれを実現できることを嬉しく思います。

## Q&A

Q: なぜ暗号をソートしているのですか？順序は重要ではないのですか？  
A: 重要ですが、私たちの調査では、アプリケーションやライブラリは、一意の順序よりも一意の暗号リストを選択することが多いことがわかりました。これにより、JA3 検出を防ぐための戦術である「暗号スタンティング」（暗号の順序をランダム化する手法）の効果も低下します。

Q: なぜ拡張機能をソートしているのですか？  
A: 2023 年の初めに、Google は Chromium ブラウザを更新し、拡張機能の順序をランダム化しました。暗号スタンティングと同様に、これは JA3 検出を防ぎ、「TLS エコシステムを変更に対してより堅牢にする」ための戦術でした。Google は、サーバー実装者が Chrome のフィンガープリントが決して変わらないと想定し、その周りにロジックを構築してしまうことを懸念していました。これにより、Google が Chrome を更新するたびに問題が発生する可能性がありました。

明確にしておきたいのは、JA4 フィンガープリントは、アプリケーションの TLS ライブラリが更新されるにつれて、約年に 1 回変化するということです。アプリケーションが更新される環境では、フィンガープリントが一定であると想定しないでください。いずれにせよ、拡張機能をソートすることでこれを回避し、署名アルゴリズムを追加することで一意性を維持できます。

Q: TLS 1.3 によって TLS クライアントのフィンガープリンティングは難しくなりませんか？  
A: いいえ、むしろ簡単になります！TLS 1.3 以降、クライアントははるかに多くの拡張機能セットを持つようになり、TLS 1.3 は少数の暗号のみをサポートしていますが、ブラウザやアプリケーションは依然としてはるかに多くの暗号をサポートしています。

## JA4+ の作成者

[John Althouse](https://www.linkedin.com/in/johnalthouse/)、以下の方々からのフィードバックを得て作成：

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

そして、GreyNoise、Hunt、Google、ExtraHop、F5、Driftnet などのエンジニアたち。

ライセンスや質問については、[email protected] まで John Althouse にお問い合わせください。

<sub>JA4 および JA4+ は FoxIO, Inc. の商標です。  
Copyright (c) 2026, FoxIO</sup>