ESLa Huellas dactilares TLS lee la forma de un TLS ClientHello. El servidor ve este mensaje antes de la primera solicitud HTTP, por lo que puede inspeccionar la pila de conexiones sin esperar la página JavaScript.
JA3 y JA4 convierten los campos ClientHello seleccionados en valores que son más fáciles de comparar. Los conjuntos de cifrado, las extensiones TLS, los grupos admitidos y los detalles del protocolo pueden ayudar a distinguir un navegador de una aplicación móvil, una muestra de malware o una biblioteca HTTP básica.
La parte útil es la coherencia. Un cliente puede afirmar que es Chrome en su agente de usuario. Su protocolo de enlace TLS aún debería ajustarse al navegador y la versión detrás de esa afirmación. Si las dos capas no están de acuerdo, la solicitud merece una inspección más detallada.
Ese desajuste es sólo una señal. Una huella digital TLS describe una pila de clientes, no una persona. Los buenos sistemas de riesgo lo comparan con el historial de IP, el comportamiento HTTP y la huella digital del navegador más amplia.
¿Qué es la Huellas dactilares TLS?
TLS protege los datos enviados entre un cliente y un servidor. Antes de que el cifrado esté listo, ambas partes deben ponerse de acuerdo sobre la configuración de la conexión. El cliente inicia esa negociación con un ClientHello.
Diferentes programas crean este mensaje de formas reconocibles. Chrome usa BoringSSL. Firefox utiliza NSS. Muchos scripts llegan a OpenSSL a través de otra biblioteca. Sus opciones admitidas y patrones de extensión rara vez se alinean por accidente.
Una CDN, un firewall de aplicaciones web o un servidor de origen pueden registrar campos seleccionados y conexiones de grupo con resultados similares. No es necesario descifrar la página ni identificar al usuario. La evidencia ya existe en la configuración de la conexión.
¿Cómo funciona la Huellas dactilares TLS?
Una verificación típica sigue cinco pasos.
- El cliente abre una conexión HTTPS.
- Envía un ClientHello con sus opciones de conexión admitidas.
- El servidor o CDN lee los campos seleccionados de ese mensaje.
- Un método de toma de huellas dactilares normaliza y resume esos campos.
- Un sistema de seguridad compara el resultado con patrones conocidos y otras señales de solicitud.
Cambiar un agente de usuario HTTP no reconstruye la pila TLS subyacente. Por lo tanto, una solicitud puede reclamar una familia de navegadores mientras se conecta como otra aplicación.
Ésa es una razón para inspeccionar la solicitud, no una razón para bloquearla a la vista. Las puertas de enlace corporativas, el software de seguridad, las versiones inusuales de los navegadores y los intermediarios TLS pueden cambiar lo que observa el servidor.
¿Qué información se utiliza en una huella digital TLS?
Los formatos de huellas dactilares eligen diferentes campos y reglas de normalización. La mayoría se basa en las mismas partes de ClientHello.
| Señal | lo que describe | Límite importante |
|---|---|---|
| Versión TLS | Versiones de protocolo ofrecidas por el cliente. | La misma versión es compartida por muchos clientes. |
| Conjuntos de cifrado | Opciones criptográficas que admite el cliente. | Una lista describe capacidades, no una persona. |
| Extensiones TLS | Funciones adicionales incluidas en ClientHello | Los navegadores modernos pueden cambiar el orden de las extensiones |
| Grupos apoyados | Curva elíptica y grupos de intercambio clave. | Los resultados pueden cambiar con las actualizaciones de la biblioteca |
| Algoritmos de firma | Métodos de firma aceptados por el cliente | Varias aplicaciones pueden utilizar la misma lista |
| ALPN | Protocolos de aplicación como HTTP/2 | No describe el comportamiento HTTP completo. |
| Presencia del SNI | Si se incluye un nombre de servidor | Es posible que una huella digital compacta no incluya el nombre en sí. |
| Orden y recuento de campos | Cómo el cliente estructura el mensaje | Algunos formatos ordenan campos y descartan orden |
Los valores de GRASA también necesitan un manejo especial. Los navegadores agregan valores reservados para probar si los servidores pueden tolerar futuros cambios de protocolo. Tanto JA3 como JA4 ignoran estos valores durante el cálculo normal de huellas dactilares.
Estos campos describen opciones de implementación. Dos computadoras que ejecutan la misma versión del navegador pueden producir el mismo resultado normalizado.
¿Qué es una huella digital JA3?
JA3 es un método introducido por los investigadores de Salesforce en 2017. Se necesitan cinco grupos ordenados desde ClientHello.
- Versión TLS o SSL
- Conjuntos de cifrado aceptados
- Extensiones TLS
- Curvas elípticas soportadas
- Formatos de puntos de curva elíptica
JA3 une los valores decimales de esos grupos en una sola cadena. Luego produce un hash MD5 de 32 caracteres. El hash es una clave de búsqueda compacta. MD5 no se utiliza aquí para proteger una contraseña o demostrar la integridad de los datos.
El proyecto JA3 original ya está archivado. JA3 sigue siendo importante porque años de herramientas de red e inteligencia sobre amenazas dependen de sus valores.
Su debilidad es el orden de extensión. JA3 lo conserva, mientras que Chrome comenzó a cambiar ese orden en todas las conexiones en 2023. Un navegador podría entonces producir muchos hashes JA3 sin cambiar sus capacidades principales. rápidamente documentó el efecto en toda su red.
¿Qué es una huella digital JA4?
JA4 es un formato de huella digital de cliente TLS más nuevo de FoxIO. Reduce el ruido creado al cambiar el cifrado y el orden de extensión.
Un valor JA4 tiene tres secciones.
| Sección | Contenido principal |
|---|---|
a | Transporte, versión TLS, presencia SNI, recuento de cifrado, recuento de extensiones y ALPN |
b | Un breve hash de códigos cifrados ordenados |
c | Un hash corto de los códigos de extensión ordenados y los algoritmos de firma |
La clasificación hace que JA4 sea estable cuando la única diferencia es el cifrado o el orden de extensión. También elimina esa orden como prueba. Un equipo de seguridad que necesite la secuencia original debe conservar el paquete o los datos sin procesar del protocolo de enlace.
JA4 pertenece al proyecto de toma de huellas digitales de red JA4 más amplio. JA4 cubre el saludo del cliente. JA4S cubre una respuesta del servidor. JA4H cubre el comportamiento del cliente HTTP. Son huellas dactilares separadas dentro de una misma familia.
Para una nueva tubería de recolección, JA4 suele ser el punto de partida más limpio. JA3 todavía se gana su lugar cuando las coincidencias históricas y los datos de amenazas existentes son importantes. Muchos equipos mantienen ambos durante la transición.
JA3 frente a JA4
| Área | JA3 | JA4 |
|---|---|---|
| Aporte | Cliente TLSHola | Hola cliente TLS, QUIC o DTLS |
| Producción | Un hash MD5 | Tres secciones estructuradas |
| orden de cifrado | En conserva | Ordenado |
| Orden de extensión | En conserva | Ordenado |
| Valores de GRASA | ignorado | ignorado |
| ALPN | La presencia de la extensión contribuye | La representación corta de ALPN es visible |
| Mejor ajuste | Coincidencia histórica y datos de amenazas existentes | Agrupación moderna y comparación parcial. |
Una coincidencia significa que los campos de protocolo de enlace seleccionados produjeron la misma representación. Trátelo como una clasificación de cliente, no como una coincidencia de identidad.
Huellas dactilares TLS frente a HTTP y Huellas digitales del navegador
Los sistemas de detección reales no se basan en una sola huella dactilar. Comparan señales de varias capas y cada capa responde a una pregunta diferente.
señales TLS
Las señales TLS describen cómo el cliente inicia una conexión cifrada. JA3 y JA4 pertenecen aquí. El servidor puede inspeccionarlos antes de que se ejecute el código de la página.
señales HTTP
Las señales HTTP incluyen nombres de encabezados, orden de encabezados, elección de protocolo y estructura de solicitud. HTTP/2 agrega marcos de CONFIGURACIÓN, tamaños de ventanas y orden de pseudo encabezados. Estos detalles pueden respaldar un hallazgo de TLS, pero provienen de una etapa diferente de la solicitud.
Señales del navegador
Las señales del navegador provienen de encabezados y API del navegador. Las fuentes, los detalles de la pantalla, la salida de Canvas, una Huella digital WebGL y una Huella digital de audio pueden revelar si el entorno de la página se ajusta a la pila de red. La mayoría de estas comprobaciones necesitan código de página para ejecutarse.
Señales de comportamiento
Las señales de comportamiento describen lo que hace el cliente a lo largo del tiempo. La tasa de solicitudes, el orden de navegación, el historial de sesiones, la entrada del mouse y las acciones repetidas son fundamentales para la Detección de bots. Un apretón de manos correcto no puede legitimar un comportamiento sospechoso.
La decisión útil surge del acuerdo entre capas. Un agente de usuario de Chrome, un protocolo de enlace TLS estilo Chrome, la configuración HTTP/2 esperada y las API del navegador que funcionan cuentan una historia coherente. La intención humana aún debe juzgarse a partir de la sesión y su comportamiento.
¿Qué puede revelar una huella digital TLS?
Una huella digital TLS es útil para estimar:
- Si un cliente se parece a un navegador, una aplicación, un bot o una biblioteca HTTP general
- Qué implementación TLS o familia de aplicaciones puede haber creado la conexión
- Si el apretón de manos se ajusta al agente de usuario informado
- Si ha aparecido un patrón de conexión antes
- Si el tráfico pertenece a un grupo conocido en una base de datos de amenazas
Es una base pobre para afirmar:
- El nombre o identidad del usuario.
- Propiedad de una cuenta
- Un dispositivo físico único
- El sistema operativo exacto en cada caso
- Si la solicitud es perjudicial
- Si dos solicitudes coincidentes comparten un operador
Cloudflare utiliza JA3 y JA4 dentro de Bot Management como parte de un conjunto de señales más amplio. Su documentación JA3 y JA4 también señala que puede faltar una huella digital en una solicitud no cifrada o cuando la reanudación de la sesión evita un nuevo protocolo de enlace. Los datos faltantes no deben considerarse sospechosos de forma predeterminada.
¿Dónde se utiliza la Huellas dactilares TLS?
Las huellas digitales TLS ganan su valor en un trabajo de seguridad repetible.
- La búsqueda de amenazas puede agrupar conexiones cifradas de familias de malware conocidas.
- La gestión de bots puede comparar las afirmaciones del navegador con la pila de conexiones.
- Los sistemas de fraude pueden agregar el resultado a un modelo de riesgo de cuenta o transacción.
- Los equipos de API pueden separar los clientes esperados de las bibliotecas inusuales.
- Los firewalls de aplicaciones web pueden monitorear o limitar los grupos de huellas dactilares conocidos.
- Los equipos de operaciones pueden encontrar implementaciones de TLS antiguas o inesperadas.
La preocupación por la privacidad es igualmente práctica. Los datos TLS no dependen de cookies ni del almacenamiento local. Cuando se combina con una huella digital del navegador más amplia, puede admitir el reconocimiento entre visitas.
¿Una VPN o un proxy cambian una huella digital TLS?
Una VPN normalmente cambia la ruta y la IP pública. No reconstruye el navegador ClientHello. El destino aún ve el protocolo de enlace creado por el navegador.
Un túnel HTTP CONNECT o SOCKS estándar normalmente se comporta de la misma manera. Transmite la conexión sin terminar TLS, por lo que el cliente aún negocia directamente con el objetivo.
El resultado cambia cuando un intermediario finaliza TLS y crea una nueva conexión ascendente. En ese caso, el destino ve el ClientHello producido por el intermediario. Los portales de inspección corporativa y algunos servicios de red administrados pueden funcionar de esta manera.
Esta es la razón por la que un proxy, VPN y Navegador antidetección afecta diferentes partes del entorno. El destino ve la huella digital de cualquier software que establezca la sesión TLS que recibe.
El Modo incógnito también tiene un efecto limitado. Cambia el almacenamiento local y el historial de navegación. Normalmente no reemplaza la implementación TLS del navegador.
Cómo leer una prueba de huellas dactilares TLS
Una página de prueba informa lo que observó su propio servidor. Es una herramienta de comparación, no un certificado de aprobación.
Utilice una comparación controlada.
- Ejecute la misma prueba dos veces en el mismo perfil del navegador.
- Registre la versión del navegador, el protocolo y los valores JA3 y JA4.
- Reinicie el perfil y repita la prueba.
- Pruebe nuevamente después de una actualización del navegador o del sistema operativo.
- Tenga en cuenta si una VPN, un proxy o una puerta de enlace de inspección cambiaron la ruta de conexión.
El resultado sólo resulta útil cuando se conocen las condiciones de la prueba.
| Resultado | significado probable | Lo que no prueba |
|---|---|---|
| Mismo JA4 en todos los perfiles | Los campos TLS normalizados coinciden | Los perfiles son el mismo dispositivo. |
| Nuevo JA3 en cada conexión | La orden de extensión puede estar cambiando | El cliente cambió por completo. |
| Falta JA3 o JA4 | No había disponible ningún nuevo protocolo de enlace TLS adecuado | El sitio no puede evaluar la solicitud. |
| El agente de usuario y la familia TLS difieren | La conexión necesita más contexto. | La solicitud es maliciosa |
Diferentes sitios de prueba pueden calcular o mostrar valores de diferentes maneras. Comience con resultados repetidos de un servicio antes de comparar hashes de otros lugares.
Huellas dactilares TLS y perfiles de navegador
Un perfil de navegador mantiene juntos el entorno del navegador, las cookies, la configuración del proxy y la configuración relacionada. Los usuarios de MoreLogin pueden elegir un kernel de navegador y administrar las señales expuestas a través de las API del navegador en la configuración de perfil. Estos incluyen Canvas, WebGL, AudioContext, WebRTC, idioma, zona horaria y dispositivos multimedia.
TLS se encuentra debajo de la configuración de la API del navegador. Cambiar la salida de Canvas no cambia JA3. La edición del texto del agente de usuario no reconstruye ClientHello.
MoreLogin no incluye públicamente un control JA3 o JA4 separado en su configuración de perfil actual. Por lo tanto, afirmar que cada perfil recibe un hash TLS único iría más allá de la información del producto disponible. La versión del navegador, el tiempo de ejecución, el protocolo, el diseño del proxy y la ruta de conexión afectan lo que observa un servidor.
Para el trabajo en equipo autorizado, un navegador multicuenta mantiene separadas las cookies, las asignaciones de proxy y los entornos del navegador. Esto reduce la superposición accidental entre perfiles. No puede controlar cómo cada sistema de seguridad de terceros clasifica el tráfico.
El mismo límite se aplica a la Automatización del navegador. Un flujo de trabajo que se ejecuta en un navegador real utiliza una pila de red diferente a la de una biblioteca de scripts básica. Todavía necesita permiso, tasas de solicitudes razonables y un manejo confiable de errores.
Preguntas frecuentes sobre Huellas dactilares TLS
¿La huella digital TLS es exclusiva de un dispositivo?
No. Generalmente describe una aplicación cliente o un grupo de implementación TLS. Muchos dispositivos que ejecutan la misma versión del navegador pueden compartir un resultado. Una actualización también puede cambiar la huella digital en el mismo dispositivo.
¿Puede un sitio web ver mi huella digital TLS?
Sí. El servidor o CDN que recibe la conexión puede inspeccionar ClientHello. Una página de prueba puede mostrar el valor devuelto por ese servidor.
¿Cambiar el agente de usuario cambia JA3 o JA4?
No por sí solo. El agente de usuario es un valor HTTP, mientras que JA3 y JA4 provienen del protocolo de enlace TLS. Editar un encabezado no reconstruye la pila de red.
¿Por qué dos navegadores pueden tener el mismo JA4?
JA4 ordena listas seleccionadas y agrupa apretones de manos similares. Los navegadores con el mismo motor y capacidades TLS pueden compartir un resultado. Eso no significa que los navegadores estén vinculados.
¿Borrar las cookies cambia la huella digital TLS?
No. Las cookies son datos de sesión almacenados, mientras que las huellas digitales TLS provienen de la configuración de la conexión. Un sitio puede usar ambos, pero borrar uno no restablece el otro.
¿El cliente cifrado Hello detiene la Huellas dactilares TLS?
Encrypted Client Hello protege partes sensibles del protocolo de enlace, incluido el nombre del servidor solicitado. La red aún puede ver un ClientHello externo y el destino aún maneja la conexión completa. ECH mejora la privacidad sin eliminar todas las señales TLS.
Conclusión clave
La Huellas dactilares TLS muestra cómo un cliente inicia una conexión cifrada. JA3 sigue siendo valioso para las coincidencias históricas. Por lo general, es más fácil trabajar con JA4 cuando los navegadores modernos cambian el orden de la lista.
La huella digital adquiere significado cuando concuerda con HTTP, navegador, red, sesión y señales de comportamiento. Un hash puede guiar una decisión de riesgo. No debería tomar esa decisión solo.
