#### macOS

1. [Скачайте](https://www.wireshark.org/download.html) и установите Wireshark (включает `tshark`).
2. Добавьте `tshark` в ваш `PATH`:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. Соответствующий workflow GitHub Actions запустится и автоматически опубликует файлы релиза. Для Zeek релиз появится на [packages.zeek.org](https://packages.zeek.org/).

## Подробности JA4+

JA4+ — это набор простых, но мощных сетевых отпечатков для нескольких протоколов, которые читаются как человеком, так и машиной, что облегчает улучшенный поиск угроз и анализ безопасности. Если вы не знакомы с сетевым фингерпринтингом, я рекомендую прочитать мои блоги о выпуске JA3 [здесь](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [здесь](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), а также этот отличный блог от Fastly о [Состоянии TLS-фингерпринтинга](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next), в котором описывается история вышеупомянутых методов вместе с их проблемами. JA4+ обеспечивает выделенную поддержку, поддерживая методы в актуальном состоянии по мере изменения индустрии.

Все отпечатки JA4+ имеют формат a_b_c, разделяющий различные секции, из которых состоит отпечаток. Это позволяет осуществлять поиск и обнаружение, используя только ab, ac или только c. Если кто-то хочет провести анализ только входящих cookie в своё приложение, он посмотрит только на JA4H_c. Этот новый формат, сохраняющий локальность, облегчает более глубокий и насыщенный анализ, оставаясь при этом простым, удобным в использовании и допускающим расширяемость.

Например, GreyNoise — это интернет-слушатель, который идентифицирует интернет-сканеры и внедряет JA4+ в свой продукт. У них есть актор, который сканирует интернет с постоянно меняющимся единственным TLS-шифром. Это генерирует огромное количество совершенно разных отпечатков JA3, но с JA4 меняется только часть b отпечатка JA4, части a и c остаются прежними. Таким образом, GreyNoise может отслеживать актора, глядя на отпечаток JA4_ac (объединяя a+c, отбрасывая b).

Список методов JA4+ и их описания см. в разделе [Текущие методы и детали реализации](#current-methods-and-implementation-details).

Чтобы понять, как читать отпечатки JA4+, см. [Технические детали](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Лицензирование

*JA4: TLS Client Fingerprinting* — это [открытый исходный код, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), так же как и JA3. FoxIO не имеет патентных претензий и не планирует добиваться патентного покрытия для JA4 TLS Client Fingerprinting. Это позволяет любой компании или инструменту, использующему JA3, немедленно перейти на JA4 без задержек.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N и все будущие дополнения (совместно именуемые JA4+)** находятся на стадии патентной заявки и лицензированы в соответствии с [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE). Эта лицензия является разрешительной для большинства случаев использования, включая академические и внутренние бизнес-цели, но не разрешает монетизацию. Если, например, компания хочет использовать JA4+ внутри себя для защиты собственной компании, это разрешено. Если, например, вендор хочет продавать фингерпринтинг JA4+ как часть своего продукта, ему потребуется запросить у нас OEM-лицензию.

JA4+ является товарным знаком FoxIO

JA4+ может быть и внедряется в инструменты с открытым исходным кодом, см. [License FAQ](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) для подробностей.

Эта лицензия позволяет нам предоставлять JA4+ миру открытым и немедленно применимым способом, но также даёт нам возможность финансировать дальнейшую поддержку, исследования новых методов и разработку базы данных JA4+. Мы хотим, чтобы у всех была возможность использовать JA4+, и мы рады работать с вендорами и проектами с открытым исходным кодом, чтобы помочь этому осуществиться.

## Вопросы и ответы

В: Почему вы сортируете шифры? Разве порядок не имеет значения?  
О: Имеет, но в наших исследованиях мы обнаружили, что приложения и библиотеки выбирают уникальный список шифров чаще, чем уникальный порядок. Это также снижает эффективность «cipher stunting» — тактики рандомизации порядка шифров для предотвращения обнаружения JA3.

В: Почему вы сортируете расширения?  
О: Ранее в 2023 году Google [обновил браузеры Chromium](https://chromestatus.com/feature/5124606246518784), чтобы рандомизировать порядок их расширений. Как и cipher stunting, это была тактика предотвращения обнаружения JA3 и «сделать TLS-экосистему более устойчивой к изменениям». Google опасался, что разработчики серверов предположат, что отпечаток Chrome никогда не изменится, и построят логику вокруг него, что вызовет проблемы при каждом обновлении Chrome компанией Google.

Поэтому я хочу прояснить: отпечатки JA4 будут меняться по мере обновления библиотек TLS приложений, примерно раз в год. Не предполагайте, что отпечатки останутся постоянными в среде, где приложения обновляются. В любом случае, сортировка расширений обходит эту проблему, а добавление алгоритмов подписи сохраняет уникальность.

В: Разве TLS 1.3 не усложняет фингерпринтинг TLS-клиентов?  
О: Нет, он его упрощает! Начиная с TLS 1.3, у клиентов появился гораздо больший набор расширений, и хотя TLS 1.3 поддерживает лишь несколько шифров, браузеры и приложения по-прежнему поддерживают гораздо больше.

## JA4+ был создан

[Джоном Олтхаусом](https://www.linkedin.com/in/johnalthouse/), с обратной связью от:

Джош Аткинс  
Джефф Аткинсон  
Джошуа Александер  
W.  
Джо Мартин  
Бен Хиггинс  
Эндрю Моррис  
Крис Уэланд  
Бен Скофилд  
Маттиас Валлентин  
Валерий Воротынцев  
Тимоти Ноэль  
Гэри Липски

Майкл Барбайн

И инженеров, работающих в GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet и других.

Свяжитесь с Джоном Олтхаусом по адресу [email protected] для лицензирования и вопросов.

<sub>JA4 и JA4+ являются товарными знаками FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>