Huellas de cliente TLS, JA3 y JA4

JA3 resume el saludo del cliente (versión, suites, extensiones, curvas y formatos) en un solo valor. Mientras cada programa propone siempre lo mismo y en el mismo orden, el valor identifica al programa. El problema llegó cuando los navegadores basados en Chromium empezaron a mezclar el orden de las extensiones en cada conexión, precisamente para que los intermediarios no se acostumbraran a una forma fija. Con el orden entrando en el cálculo, el mismo navegador produce un JA3 distinto en cada sesión.

JA4, de la misma familia de trabajo, ordena las extensiones antes de calcular y se organiza en tres bloques (A, B y C) separados por guion bajo, de modo que se puede comparar parcialmente. Su parte de huella de cliente TLS es de código abierto; otras variantes de la familia JA4+ tienen una licencia propia que pide leerla antes de usarlas en un producto comercial. Ese es el estado actual a la fecha de redacción: JA3 sigue vivo en muchos registros y bases históricas, pero JA4 es la que aguanta la mezcla de extensiones.

La mejor manera de entender una limitación es medirla. En el laboratorio hay un navegador de la oficina con varias sesiones: compara su columna JA3 con las columnas de JA4. Cuenta cuántos valores JA3 distintos produce el equipo 10.88.10.14 y fíjate en cuántos distintos producen sus bloques B y C de JA4.

Una huella no se interpreta sola: se interpreta contra un inventario. Los programas que la empresa tiene —el navegador, el actualizador, la prensa— producen sus huellas conocidas, medidas en un periodo de referencia. Una huella que aparece en la red y que no está en esa tabla no es una acusación; es un programa sin identificar. Lo habitual es mirar qué equipo la produce, a qué sitios llama y cómo se comporta.

Compara los bloques B y C de las sesiones con la tabla de huellas conocidas y aísla la que no está en ella. Los valores del laboratorio son marcadores, no resúmenes reales.

El bloque A de una huella JA4 se lee sin herramienta: sus primeras posiciones son legibles. Dicen si la conexión va sobre TCP o QUIC, qué versión de TLS ofrece el cliente, si pidió un nombre de servidor, cuántas suites y cuántas extensiones ofrece, y qué protocolo de aplicación propone primero. Eso ya da una idea del tipo de cliente: un navegador moderno ofrece decenas de extensiones y suites; un programa sencillo, pocas.

Con la tabla de lectura del laboratorio (que usa otra huella de ejemplo), decodifica el bloque A de las sesiones del equipo 10.88.20.31 y calcula cuántas extensiones ofrece su cliente.

Una huella identifica el programa que abre la conexión, no a quien lo manejó ni lo que quiso hacer. Muchos programas distintos comparten la misma huella cuando usan la misma biblioteca, y un mismo malware puede cambiar de biblioteca. Por eso una huella rara sirve para priorizar —de todos los equipos, ese hace algo distinto— y una huella conocida no sirve para absolver. Una huella nunca se pone sola como motivo de bloqueo.