#### macOS

1. [다운로드](https://www.wireshark.org/download.html)하여 Wireshark를 설치합니다(`tshark` 포함).
2. `tshark`를 `PATH`에 추가합니다:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. 해당 GitHub Actions 워크플로우가 실행되어 릴리스 자산을 자동으로 게시합니다. Zeek의 경우 릴리스는 [packages.zeek.org](https://packages.zeek.org/)에 표시됩니다.

## JA4+ 상세 정보

JA4+는 인간과 기계 모두가 읽을 수 있는 여러 프로토콜에 대한 간단하면서도 강력한 네트워크 핑거프린트 세트로, 위협 헌팅과 보안 분석을 개선합니다. 네트워크 핑거프린팅에 익숙하지 않다면, JA3을 공개한 제 블로그 [여기](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [여기](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), 그리고 Fastly의 [TLS 핑거프린팅 현황](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next)에 관한 훌륭한 블로그를 읽어보시길 권장합니다. 해당 블로그는 앞서 언급한 방법들의 역사와 문제점을 설명합니다. JA4+는 전용 지원을 제공하며, 업계 변화에 따라 방법을 최신 상태로 유지합니다.

모든 JA4+ 핑거프린트는 a_b_c 형식을 가지며, 핑거프린트를 구성하는 각 섹션을 구분합니다. 이를 통해 ab, ac 또는 c만 사용하여 헌팅 및 탐지가 가능합니다. 앱으로 들어오는 쿠키만 분석하려는 경우 JA4H_c만 보면 됩니다. 이 새로운 지역 보존 형식은 단순하고 사용하기 쉬우며 확장성을 유지하면서도 더 깊고 풍부한 분석을 가능하게 합니다.

예를 들어, GreyNoise는 인터넷 스캐너를 식별하는 인터넷 리스너로, 제품에 JA4+를 구현하고 있습니다. 이들은 끊임없이 변화하는 단일 TLS 암호로 인터넷을 스캔하는 행위자를 추적합니다. 이로 인해 완전히 다른 수많은 JA3 핑거프린트가 생성되지만, JA4에서는 JA4 핑거프린트의 b 부분만 변경되고 a와 c 부분은 동일하게 유지됩니다. 따라서 GreyNoise는 JA4_ac 핑거프린트(a+c 결합, b 제외)를 보고 행위자를 추적할 수 있습니다.

JA4+ 방법 목록과 설명은 [현재 방법 및 구현 세부 정보](#current-methods-and-implementation-details)를 참조하세요.

JA4+ 핑거프린트를 읽는 방법을 이해하려면 [기술 세부 정보](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md)를 참조하세요.

## 라이선스

*JA4: TLS Client Fingerprinting*은 JA3과 동일하게 [오픈소스, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4)입니다. FoxIO는 특허 청구가 없으며 JA4 TLS Client Fingerprinting에 대한 특허 보호를 추진할 계획이 없습니다. 이를 통해 현재 JA3을 사용하는 모든 회사나 도구는 지체 없이 즉시 JA4로 업그레이드할 수 있습니다.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N 및 향후 추가될 모든 기능(통칭 JA4+)** 은 특허 출원 중이며 [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE)에 따라 라이선스가 부여됩니다. 이 라이선스는 학술 및 내부 비즈니스 목적을 포함한 대부분의 사용 사례에 대해 허용적이지만, 수익화에는 허용적이지 않습니다. 예를 들어, 회사가 자체 보안을 강화하기 위해 JA4+를 내부적으로 사용하려는 경우 허용됩니다. 예를 들어, 벤더가 제품 제공의 일부로 JA4+ 핑거프린팅을 판매하려는 경우 당사에 OEM 라이선스를 요청해야 합니다.

JA4+는 FoxIO의 상표입니다.

JA4+는 오픈소스 도구에 구현될 수 있으며 실제로 구현되고 있습니다. 자세한 내용은 [라이선스 FAQ](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md)를 참조하세요.

이 라이선스는 JA4+를 개방적이고 즉시 사용 가능한 방식으로 세상에 제공하면서도, 지속적인 지원, 새로운 방법 연구, JA4+ 데이터베이스 개발에 자금을 조달할 수 있는 방법을 제공합니다. 우리는 모든 사람이 JA4+를 활용할 수 있기를 바라며, 이를 실현하기 위해 벤더 및 오픈소스 프로젝트와 협력하게 되어 기쁩니다.

## Q&A

Q: 암호를 정렬하는 이유는 무엇인가요? 순서가 중요하지 않나요?  
A: 중요하지만, 연구 결과 애플리케이션과 라이브러리는 고유한 순서보다 고유한 암호 목록을 선택하는 경우가 더 많다는 것을 발견했습니다. 또한 이는 JA3 탐지를 방지하기 위해 암호 순서를 무작위화하는 전술인 "암호 스턴팅(cipher stunting)"의 효과를 줄입니다.

Q: 확장 프로그램을 정렬하는 이유는 무엇인가요?  
A: 2023년 초, Google은 [Chromium](https://chromestatus.com/feature/5124606246518784) 브라우저를 업데이트하여 확장 프로그램 순서를 무작위화했습니다. 암호 스턴팅과 마찬가지로 이는 JA3 탐지를 방지하고 "TLS 생태계를 변화에 더 강하게 만들기" 위한 전술이었습니다. Google은 서버 구현자들이 Chrome 핑거프린트가 절대 변경되지 않을 것이라고 가정하고 이를 기반으로 로직을 구축하여, Google이 Chrome을 업데이트할 때마다 문제가 발생할 것을 우려했습니다.

따라서 분명히 말씀드립니다: JA4 핑거프린트는 애플리케이션 TLS 라이브러리가 업데이트됨에 따라 약 1년에 한 번씩 변경됩니다. 애플리케이션이 업데이트되는 환경에서 핑거프린트가 일정하게 유지될 것이라고 가정하지 마세요. 어쨌든 확장 프로그램을 정렬하면 이 문제를 해결할 수 있고, 서명 알고리즘을 추가하면 고유성이 보존됩니다.

Q: TLS 1.3이 TLS 클라이언트 핑거프린팅을 더 어렵게 만들지 않나요?  
A: 아니요, 오히려 더 쉽게 만듭니다! TLS 1.3 이후 클라이언트는 훨씬 더 많은 확장 프로그램 세트를 보유하게 되었으며, TLS 1.3이 소수의 암호만 지원하더라도 브라우저와 애플리케이션은 여전히 훨씬 더 많은 암호를 지원합니다.

## JA4+ 제작자

[John Althouse](https://www.linkedin.com/in/johnalthouse/), 피드백 제공:

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

그리고 GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet 등에서 근무하는 엔지니어들.

라이선스 및 문의 사항은 [email protected]로 John Althouse에게 연락하세요.

<sub>JA4 및 JA4+는 FoxIO, Inc.의 상표입니다.  
Copyright (c) 2026, FoxIO</sup>