{"id":4783,"date":"2026-08-11T20:59:03","date_gmt":"2026-08-11T18:59:03","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&p=4783"},"modified":"2026-08-12T19:01:51","modified_gmt":"2026-08-12T17:01:51","slug":"ja3-ja4-fingerprinting","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ja3-ja4-fingerprinting","title":{"rendered":"JA3 \/ JA4 Fingerprinting"},"content":{"rendered":"

JA3 \/ JA4 Fingerprinting<\/strong> to techniki, kt\u00f3re tworz\u0105 sta\u0142y \u201eodcisk” klienta lub serwera TLS<\/a> na podstawie tego, jak negocjuje on szyfrowane po\u0142\u0105czenie. Odcisk powstaje z jawnych, jeszcze niezaszyfrowanych p\u00f3l pierwszych pakiet\u00f3w po\u0142\u0105czenia \u2014 ClientHello<\/code> i ServerHello<\/code> (wersja TLS, lista szyfr\u00f3w, rozszerzenia, obs\u0142ugiwane krzywe, ALPN). Dzi\u0119ki temu mo\u017cna rozpozna\u0107 typ aplikacji, u\u017cyt\u0105 bibliotek\u0119 TLS albo rodzin\u0119 malware<\/a> bez odszyfrowywania tre\u015bci po\u0142\u0105czenia. JA3 powsta\u0142o w firmie Salesforce, a JA4+ \u2014 jego nast\u0119pca \u2014 w firmie FoxIO.<\/p>\n

Jak dzia\u0142a fingerprinting TLS?<\/h2>\n

Ka\u017cde po\u0142\u0105czenie TLS zaczyna si\u0119 od kr\u00f3tkiej \u201erozmowy wst\u0119pnej” (handshake), kt\u00f3ra idzie jeszcze otwartym tekstem. Klient wysy\u0142a pakiet ClientHello<\/code> i deklaruje w nim, jakie wersje protoko\u0142u obs\u0142uguje, jak\u0105 ma list\u0119 szyfr\u00f3w (cipher suites), jakie rozszerzenia (extensions) i krzywe, oraz jaki protok\u00f3\u0142 aplikacji chce negocjowa\u0107 (ALPN \u2014 Application-Layer Protocol Negotiation). Te dane s\u0105 widoczne, zanim powstanie klucz sesji.<\/p>\n

Ka\u017cda implementacja TLS \u2014 przegl\u0105darka, biblioteka, agent czy narz\u0119dzie \u2014 uk\u0142ada te warto\u015bci w troch\u0119 inny, charakterystyczny spos\u00f3b. Odcisk TLS to po prostu skr\u00f3t (hash) tej kombinacji. To troch\u0119 jak rozpozna\u0107 kogo\u015b po sposobie m\u00f3wienia, a nie po tre\u015bci: ten sam typ klienta daje ten sam odcisk niezale\u017cnie od tego, z jakim adresem IP, portem czy certyfikatem si\u0119 \u0142\u0105czy.<\/p>\n

Jak liczy si\u0119 JA3?<\/h2>\n

JA3 buduje odcisk z pakietu ClientHello<\/code>. Z jego p\u00f3l wyci\u0105ga si\u0119 warto\u015bci liczbowe i skleja w jeden ci\u0105g, zawsze w tej samej kolejno\u015bci:<\/p>\n

    \n
  1. wersja TLS,<\/li>\n
  2. lista szyfr\u00f3w (cipher suites),<\/li>\n
  3. lista rozszerze\u0144 (extensions),<\/li>\n
  4. obs\u0142ugiwane krzywe eliptyczne (elliptic curves),<\/li>\n
  5. formaty punkt\u00f3w krzywych (EC point formats).<\/li>\n<\/ol>\n

    Pola rozdziela si\u0119 przecinkiem, a warto\u015bci w polu \u2014 my\u015blnikiem, np. 769,47-53-5-10-...,0-23-65281-10-11-...,29-23-24,0<\/code>. Tak z\u0142o\u017cony ci\u0105g jest haszowany algorytmem MD5<\/strong>, co daje 32-znakowy odcisk. Warto\u015bci GREASE<\/code> (mechanizm z RFC 8701, kt\u00f3ry celowo wstrzykuje \u201elosowe” wpisy) s\u0105 pomijane, \u017ceby klienci ich u\u017cywaj\u0105cy dawali mimo to stabilny hash. Odpowiednikiem po stronie serwera jest JA3S<\/strong>, liczony z pakietu ServerHello<\/code> (wersja, wybrany szyfr, rozszerzenia).<\/p>\n

    Jak liczy si\u0119 JA4 i co obejmuje suite JA4+?<\/h2>\n

    JA4 to nowsza wersja odcisku ClientHello<\/code>, zaprojektowana tak, by by\u0142a czytelna dla cz\u0142owieka i odporniejsza na zmiany w klientach. Ma format z trzech cz\u0119\u015bci, a_b_c<\/code>:<\/p>\n