#### macOS

1. [Descarregue](https://www.wireshark.org/download.html) e instale o Wireshark (inclui o `tshark`).
2. Adicione o `tshark` ao seu `PATH`:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. O fluxo de trabalho correspondente do GitHub Actions será executado e publicará os artefatos de lançamento automaticamente. Para o Zeek, o lançamento aparecerá em [packages.zeek.org](https://packages.zeek.org/).

## Detalhes do JA4+

JA4+ é um conjunto de impressões digitais de rede simples, porém poderosas, para múltiplos protocolos, que são legíveis tanto por humanos quanto por máquinas, facilitando uma melhor caça a ameaças e análise de segurança. Se você não está familiarizado com impressões digitais de rede, encorajo você a ler meus blogs sobre o lançamento do JA3 [aqui](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), do JARM [aqui](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), e este excelente blog da Fastly sobre o [Estado da Impressão Digital TLS](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next), que descreve a história dos mencionados anteriormente, juntamente com seus problemas. O JA4+ traz suporte dedicado, mantendo os métodos atualizados à medida que a indústria muda.

Todas as impressões digitais JA4+ têm um formato a_b_c, delimitando as diferentes seções que compõem a impressão digital. Isso permite caça e detecção utilizando apenas ab ou ac ou apenas c. Se alguém quisesse apenas fazer análise dos cookies recebidos em seu aplicativo, eles olhariam apenas para o JA4H_c. Este novo formato que preserva a localidade facilita uma análise mais profunda e rica, permanecendo simples, fácil de usar e permitindo extensibilidade.

Por exemplo, a GreyNoise é um ouvinte da internet que identifica scanners da internet e está implementando o JA4+ em seu produto. Eles têm um ator que escaneia a internet com uma única cifra TLS em constante mudança. Isso gera uma quantidade massiva de impressões digitais JA3 completamente diferentes, mas com o JA4, apenas a parte b da impressão digital JA4 muda, as partes a e c permanecem as mesmas. Assim, a GreyNoise pode rastrear o ator observando a impressão digital JA4_ac (unindo a+c, descartando b).

Para uma lista de métodos JA4+ e suas descrições, veja [Métodos atuais e detalhes de implementação](#current-methods-and-implementation-details).

Para entender como ler as impressões digitais JA4+, veja [Detalhes Técnicos](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Licenciamento

*JA4: Impressão Digital de Cliente TLS* é [open-source, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), assim como o JA3. A FoxIO não possui reivindicações de patente e não planeja buscar cobertura de patente para a Impressão Digital de Cliente TLS JA4. Isso permite que qualquer empresa ou ferramenta que atualmente utilize o JA3 atualize imediatamente para o JA4 sem atraso.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N e todas as adições futuras (coletivamente referidas como JA4+)** têm patente pendente e são licenciadas sob a [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE). Esta licença é permissiva para a maioria dos casos de uso, incluindo fins acadêmicos e comerciais internos, mas não é permissiva para monetização. Se, por exemplo, uma empresa quiser usar o JA4+ internamente para ajudar a proteger sua própria empresa, isso é permitido. Se, por exemplo, um fornecedor quiser vender a impressão digital JA4+ como parte de sua oferta de produto, eles precisariam solicitar uma licença OEM de nós.

JA4+ é uma marca registrada da FoxIO

O JA4+ pode e está sendo implementado em ferramentas open-source, veja o [FAQ de Licença](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) para detalhes.

Este licenciamento nos permite fornecer o JA4+ ao mundo de uma forma aberta e imediatamente utilizável, mas também nos fornece uma maneira de financiar suporte contínuo, pesquisa em novos métodos e o desenvolvimento do Banco de Dados JA4+. Queremos que todos tenham a capacidade de utilizar o JA4+ e estamos felizes em trabalhar com fornecedores e projetos open-source para ajudar a tornar isso possível.

## Perguntas e Respostas

P: Por que vocês estão ordenando as cifras? A ordem não importa?  
R: Importa, mas em nossa pesquisa descobrimos que aplicativos e bibliotecas escolhem uma lista de cifras única mais do que uma ordenação única. Isso também reduz a eficácia do "encurtamento de cifras", uma tática de randomizar a ordem das cifras para impedir a detecção do JA3.

P: Por que vocês estão ordenando as extensões?  
R: No início de 2023, o Google [atualizou os navegadores Chromium](https://chromestatus.com/feature/5124606246518784) para randomizar a ordem de suas extensões. Muito parecido com o encurtamento de cifras, isso era uma tática para impedir a detecção do JA3 e "tornar o ecossistema TLS mais robusto a mudanças". O Google estava preocupado que implementadores de servidores assumissem que a impressão digital do Chrome nunca mudaria e acabassem construindo lógica em torno dela, o que causaria problemas sempre que o Google atualizasse o Chrome.

Então quero deixar isso claro: as impressões digitais JA4 mudarão à medida que as bibliotecas TLS de aplicativos forem atualizadas, cerca de uma vez por ano. Não assuma que as impressões digitais permanecerão constantes em um ambiente onde os aplicativos são atualizados. De qualquer forma, ordenar as extensões contorna isso e adicionar os Algoritmos de Assinatura preserva a unicidade.

P: O TLS 1.3 não torna a impressão digital de clientes TLS mais difícil?  
R: Não, torna mais fácil! Desde o TLS 1.3, os clientes têm um conjunto muito maior de extensões e, embora o TLS 1.3 suporte apenas algumas cifras, navegadores e aplicativos ainda suportam muitas mais.

## JA4+ foi criado por

[John Althouse](https://www.linkedin.com/in/johnalthouse/), com feedback de:

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

E engenheiros que trabalham na GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet e outros.

Contate John Althouse em [email protected] para licenciamento e perguntas.

<sub>JA4 e JA4+ são marcas registradas da FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>