TLS y huellas de cliente (JA3/JA4)

2 tareas · 40 min · Principiante

0 de 2 · 0%

Dado que el tráfico TLS moderno viaja cifrado, los analistas no pueden inspeccionar la carga útil. Sin embargo, el paquete Client Hello viaja en texto claro y contiene parámetros específicos de la aplicación: versión SSL/TLS, suites de cifrado soportadas, extensiones y curvas elípticas. Los algoritmos JA3 y JA4 sintetizan estas características en un hash determinista que identifica la biblioteca o cliente utilizado.

Responde para continuar

¿Qué permite inferir el cálculo de un hash JA3 o JA4 sobre un flujo de red cifrado con TLS?

Identificar la biblioteca o aplicación cliente que originó la sesión sin necesidad de descifrar el contenido Descifrar automáticamente los datos transmitidos para almacenarlos en texto plano Modificar los paquetes en tránsito para forzar el uso de protocolos no cifrados Recuperar la clave privada del certificado del servidor web en texto claro

Ver pista de ayuda

Recuerda que la huella clasifica el software cliente basándose en el Client Hello.

Consulta la tabla zeek_ssl en el panel y extrae el hash JA3 registrado para el servidor telemetry-cdn.xyz.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Indica el hash ja3 completo registrado para telemetry-cdn.xyz en zeek_ssl.

Ver pista de ayuda

Copia el valor de la columna ja3 en la tabla zeek_ssl.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Identificación de aplicaciones sobre tráfico cifrado sin romper TLS

2 Hash JA3 de la conexión al dominio sospechoso Lab

Whoami-Labs Pro utiliza cookies