#### macOS

1. [下载](https://www.wireshark.org/download.html)并安装 Wireshark（包含 `tshark`）。
2. 将 `tshark` 添加到你的 `PATH` 中：   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. 对应的 GitHub Actions 工作流将自动运行并发布发布资产。对于 Zeek，发布内容将出现在 [packages.zeek.org](https://packages.zeek.org/) 上。

## JA4+ 详情

JA4+ 是一组针对多种协议的简单而强大的网络指纹，既便于人类阅读，也便于机器解析，有助于改进威胁狩猎和安全分析。如果你对网络指纹不熟悉，我建议你阅读我发布的关于 JA3 [此处](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967)、JARM [此处](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a) 的博客，以及 Fastly 撰写的这篇关于 [TLS 指纹识别现状](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) 的优秀博客，其中概述了上述方法的历史及其存在的问题。JA4+ 提供了专门的支持，随着行业的变化保持这些方法的更新。

所有 JA4+ 指纹均采用 a_b_c 格式，以分隔构成指纹的不同部分。这使得仅利用 ab、ac 或仅 c 即可进行狩猎和检测。如果只想对进入应用的 cookie 进行分析，可以仅查看 JA4H_c。这种新的局部性保留格式有助于进行更深入、更丰富的分析，同时保持简单、易用，并支持可扩展性。

例如，GreyNoise 是一家识别互联网扫描器的互联网监听服务商，正在将 JA4+ 集成到其产品中。他们有一个行为者使用不断变化的单一 TLS 密码套件扫描互联网。这会生成大量完全不同的 JA3 指纹，但使用 JA4 时，只有 JA4 指纹的 b 部分会变化，a 和 c 部分保持不变。因此，GreyNoise 可以通过查看 JA4_ac 指纹（合并 a+c，丢弃 b）来追踪该行为者。

有关 JA4+ 方法及其描述的列表，请参阅 [当前方法及实现细节](#current-methods-and-implementation-details)。

要了解如何解读 JA4+ 指纹，请参阅 [技术细节](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md)。

## 许可

*JA4: TLS 客户端指纹识别* 是 [开源、BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4) 许可，与 JA3 相同。FoxIO 没有专利申请，也不计划为 JA4 TLS 客户端指纹识别申请专利覆盖。这使得任何目前使用 JA3 的公司或工具都能立即升级到 JA4，无需延迟。

**JA4S、JA4L、JA4LS、JA4L-Delta、JA4H、JA4X、JA4SSH、JA4T、JA4TS、JA4TScan、JA4D、JA4D6、JA4Scan-TLS、JA4Scan-QUIC、JA4N 以及所有未来的新增项（统称为 JA4+）** 均处于专利申请中，并根据 [FoxIO 许可证 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE) 授权。该许可证对大多数使用场景是宽松的，包括学术和内部业务用途，但不允许商业化。例如，如果一家公司希望内部使用 JA4+ 来帮助保护自身公司安全，这是允许的。例如，如果一家供应商希望将 JA4+ 指纹识别作为其产品的一部分出售，则需要向我们申请 OEM 许可证。

JA4+ 是 FoxIO 的商标

JA4+ 可以并且正在被集成到开源工具中，详情请参阅 [许可证常见问题](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md)。

这种许可方式使我们能够以开放且立即可用的方式向世界提供 JA4+，同时也为我们提供了一种资助持续支持、新方法研究以及 JA4+ 数据库开发的方式。我们希望每个人都能利用 JA4+，并乐于与供应商和开源项目合作，共同实现这一目标。

## 问答

问：为什么要对密码套件进行排序？顺序不重要吗？  
答：顺序确实重要，但在我们的研究中发现，应用程序和库选择独特密码套件列表的情况多于选择独特顺序的情况。这还降低了“密码套件截短”的有效性，这是一种通过随机化密码套件顺序来防止 JA3 检测的策略。

问：为什么要对扩展进行排序？  
答：2023 年初，Google [更新了 Chromium](https://chromestatus.com/feature/5124606246518784) 浏览器，使其扩展顺序随机化。与密码套件截短类似，这是一种防止 JA3 检测并“使 TLS 生态系统对变化更具鲁棒性”的策略。Google 担心服务器实现者会假设 Chrome 指纹永远不会改变，并围绕它构建逻辑，这会导致 Google 更新 Chrome 时出现问题。

所以我想明确一点：JA4 指纹会随着应用程序 TLS 库的更新而变化，大约每年一次。在应用程序会更新的环境中，不要假设指纹会保持不变。无论如何，对扩展进行排序可以绕过这个问题，而添加签名算法则保持了唯一性。

问：TLS 1.3 不是让 TLS 客户端指纹识别更难了吗？  
答：不，它让指纹识别更容易了！自 TLS 1.3 以来，客户端拥有更大范围的扩展，尽管 TLS 1.3 只支持少数密码套件，但浏览器和应用程序仍然支持更多。

## JA4+ 的创建者

[John Althouse](https://www.linkedin.com/in/johnalthouse/)，并获得了以下人员的反馈：

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

以及来自 GreyNoise、Hunt、Google、ExtraHop、F5、Driftnet 等公司的工程师。

有关许可和问题，请联系 John Althouse：[email protected]。

<sub>JA4 和 JA4+ 是 FoxIO, Inc. 的商标。  
版权所有 (c) 2026, FoxIO</sup>