TLS फ़िंगरप्रिंटिंग कैसे काम करता है?

Scrapeless एजेंट ब्राउज़र वेब ऑटोमेशन के लिए एक क्लाउड-ब्राउज़र वातावरण प्रदान करता है जिसमें ब्राउज़र और नेटवर्क-लेयर व्यवहार शामिल होते हैं।

TLS फ़िंगरप्रिंटिंग उस TLS हैंडशेक के पर्यवेक्षणीय गुणों का संक्षेप प्रस्तुत करता है ताकि समान कार्यान्वयनों या कॉन्फ़िगरेशनों के साथ कनेक्शनों को समूहित किया जा सके। क्लाइंट सामान्य HTTPS अनुप्रयोग डेटा का आदान-प्रदान करने से पहले प्रोटोकॉल विकल्प पेश करता है। उस प्रस्ताव के विकल्प और संरचना सॉफ़्टवेयर स्टैक से जुड़े पैटर्न को प्रकट कर सकते हैं।

एक TLS फ़िंगरप्रिंट किसी व्यक्ति की पहचान, एक डिक्रिप्टेड पृष्ठ, या दुर्भावनापूर्ण व्यवहार के प्रमाण नहीं है। कई अप्रासंगिक क्लाइंट एक फ़िंगरप्रिंट साझा कर सकते हैं, और एक क्लाइंट अपने अद्यतन या कॉन्फ़िगरेशन परिवर्तन के बाद विभिन्न अवलोकन उत्पन्न कर सकता है। एक फ़िंगरप्रिंट को कनेक्शन के बारे में साक्ष्य के रूप में मानें, जिसमें एक परिभाषित संग्रह विधि और ज्ञात सीमाएँ होती हैं।

ClientHello में क्या होता है

एक ClientHello TLS बातचीत के क्लाइंट पक्ष की शुरुआत करता है और ऐसे पैरामीटर प्रदान करता है जिन्हें सर्वर कनेक्शन स्थापित करने के लिए उपयोग कर सकता है। इनमें समर्थित क्रिप्टोग्राफिक विकल्प और एक्सटेंशन शामिल हैं। TLS प्रोटोकॉल विनिर्देशन हैंडशेक संरचना को परिभाषित करता है; फ़िंगरप्रिंटिंग विधियाँ उस संरचना के हिस्सों का चयन और परिवर्तन करती हैं ताकि तुलना की जा सके।

फ़िंगरप्रिंटिंग विधि महत्वपूर्ण है क्योंकि कच्चे संदेश में एक संक्षिप्त हस्ताक्षर से अधिक जानकारी होती है। कुछ फ़ील्ड वैध कारणों से बदलते हैं, जबकि अन्य कार्यान्वयन विकल्पों को प्रतिबिंबित करते हैं। एक विधि को यह तय करना होता है कि क्या शामिल करना है, क्या सामान्य करना है, और किस क्रम के अंतर को आउटपुट को प्रभावित करना चाहिए।

एक पर्यवेक्षक को उपयोग किए गए वास्तविक तरीके को रिकॉर्ड करना चाहिए। “TLS फ़िंगरप्रिंट” एक श्रेणी है, न कि एक सार्वभौमिक रूप से विनिमेय मान। विभिन्न उपकरणों से स्ट्रिंग्स की तुलना करना बिना उनके एल्गोरिदम की जांच किए एक स्पष्ट विसंगति पैदा कर सकता है जो वास्तव में एक माप असंगति है।

हैंडशेक फ़ील्ड से फ़िंगरप्रिंट तक

एक फ़िंगरप्रिंटिंग पाइपलाइन पहले एक हैंडशेक का अवलोकन करती है, चयनित फ़ील्ड निकालती है, उन्हें अपनी नियमों के अनुसार सामान्य करती है, और एक संक्षिप्त प्रतिनिधित्व उत्पन्न करती है। वह प्रतिनिधित्व पढ़ने योग्य घटकों, हैशों, या दोनों को शामिल कर सकता है। एक हैश चुने गए इनपुट का एक सारांश है, यह नहीं कि हैंडशेक से अनुपस्थित अतिरिक्त प्रमाण है।

मूल JA3 विधि चयनित ClientHello मानों को एक मानकीकृत स्ट्रिंग में संयोजित करती है और उस स्ट्रिंग का हैश बनाती है। परिणामी पहचानकर्ता संगत चयनित विशेषताओं वाले कनेक्शनों को समूहित करने के लिए सहायक है। यह कनेक्शन की हर विशेषता या अनुप्रयोग की हर क्षमता का वर्णन नहीं करता है।

आपके संरक्षण नीति के अनुसार निकाले गए फ़ील्ड को जहां तक हो सके रखें। यदि केवल अंतिम फ़िंगरप्रिंट को संरक्षित किया जाता है, तो यह समझाना कठिन हो सकता है कि दो कनेक्शनों में भिन्नता क्यों है। फ़ील्ड-स्तरीय साक्ष्य आपको परिवर्तित एक्सटेंशन सूची को संग्रहकर्ता के कार्यान्वयन में परिवर्तन से अलग करने की अनुमति देता है।

JA4 तुलना में परिवर्तन क्यों करता है

JA4 एक नेटवर्क फ़िंगरप्रिंटिंग विधियों के परिवार का हिस्सा है जो JA3 से अलग प्रतिनिधित्व का उपयोग करता है। JA4 संदर्भ कार्यान्वयन और विनिर्देशन फ़ील्ड और सामान्यीकरण नियमों का वर्णन करते हैं। एक प्रासंगिक डिज़ाइन विकल्प चयनित सूचियों को क्रमबद्ध करना है, जो कि कुछ क्रम परिवर्तन के प्रति संवेदनशीलता को कम करता है।

यह JA4 को एक अचूक सॉफ़्टवेयर पहचानकर्ता नहीं बनाता है। सामान्यीकृत फ़िंगरप्रिंट जानबूझकर अवलोकनों को समूहित करता है जो उन तरीकों से भिन्न होते हैं जिन्हें योजना नजरअंदाज करना चुनती है। लाभ कुछ विश्लेषण कार्यों के लिए एक अधिक उपयोगी समूह बनाना है; लागत यह है कि उन नजरअंदाज किए गए भिन्नताओं से ग्राहकों के बीच भेदभाव नहीं रह जाता।

उस योजना का उपयोग करें जो प्रश्न के अनुरूप हो। यदि जांच व्यापक क्लाइंट परिवारों के बारे में है, तो सामान्यीकृत समूह सहायता कर सकता है। यदि यह सॉफ़्टवेयर परिवर्तन के बाद एक विशिष्ट हैंडशेक भिन्नता के बारे में है, तो कच्चे फ़ील्ड का निरीक्षण करें। एक संक्षिप्त मान और पैकेट-स्तरीय तुलना भिन्न प्रश्नों का उत्तर देती है।

GREASE और वैध विविधता

TLS कार्यान्वयन को विकसित करने के लिए कमरे की आवश्यकता होती है बिना सर्वर यह मानते हुए कि प्रत्येक अवलोकित मान एक निश्चित ज्ञात सूची से संबंधित है। GREASE मान समर्थित बातचीत के फ़ील्ड में आरक्षित मानों को पेश करके प्रोटोकॉल विस्तारशीलता का अभ्यास करते हैं। एक फ़िंगरप्रिंटिंग कार्यान्वयन को अपने तरीके के अनुसार उन मानों को संभालना चाहिए।

हर बदलते हैंडशेक फ़ील्ड को जानबूझकर छिपाने के सबूत के रूप में व्याख्या न करें। सॉफ़्टवेयर अपडेट, कॉन्फ़िगरेशन, प्रोटोकॉल बातचीत, और कनेक्शन पुन: उपयोग सभी उस चीज़ को बदल सकते हैं जो एक संग्रहकर्ता देखता है। कुछ योजनाएँ विशिष्ट विविधता को सामान्य करती हैं, जबकि अन्य इसे संरक्षित करती हैं।

एक नियंत्रित तुलना के लिए, क्लाइंट निर्माण, प्रोटोकॉल पथ, और कैप्चर बिंदु को रिकॉर्ड करें। सुनिश्चित करें कि यदि आप उसकी तुलना करने का इरादा रखते हैं, तो दो अनुरोधों ने नए हैंडशेक बनाए हैं। एक स्थापित कनेक्शन को पुन: उपयोग करने से अतिरिक्त HTTP अनुरोध उत्पन्न हो सकते हैं बिना प्रत्येक के लिए एक नया ClientHello प्रदान किए।

TLS, HTTP, और ब्राउज़र फ़िंगरप्रिंट अलग हैं

TLS फ़िंगरप्रिंटिंग कनेक्शन हैंडशेक से संबंधित है। HTTP फ़िंगरप्रिंटिंग अनुरोध हेडर या प्रोटोकॉल व्यवहार से संबंधित हो सकता है। ब्राउज़र फ़िंगरप्रिंटिंग में ब्राउज़र APIs और रेंडरिंग द्वारा प्रकट गुणों को शामिल किया जा सकता है। इन परतों का एक साथ विश्लेषण किया जा सकता है, लेकिन एक माप अन्य मापों के लिए प्रतिस्थापित नहीं हो सकता है।

HTTP उपयोगकर्ता-एजेंट मान को बदलने से सीधे उस TLS पुस्तकालय में परिवर्तन नहीं होता है जिसने कनेक्शन स्थापित किया। पृष्ठ JavaScript को चलाना भी एक पूर्ण हैंडशेक को पूर्ववत रूप से परिवर्तित नहीं करता है। यह समझाता है कि केवल एक ब्राउज़र-लुकिंग हेडर यह प्रदर्शित करने में सक्षम नहीं है कि एक क्लाइंट एक ब्राउज़र के रूप में समान नेटवर्क व्यवहार प्रस्तुत करता है।

रिवर्स सीमा भी महत्वपूर्ण है। एक नेटवर्क क्लाइंट जो एक परिचित हैंडशेक उत्पन्न करता है, फिर भी एक ब्राउज़र के जावास्क्रिप्ट इंजन और पृष्ठ स्थिति की कमी हो सकती है। यदि लक्षित दस्तावेज़ स्क्रिप्ट निष्पादन के बाद प्रस्तुत किया गया है, तो नेटवर्क विशेषताओं का मेल करना अनुपस्थित सामग्री को नहीं उत्पन्न करता।

जहाँ अवलोकन किया जाता है, वह मायने रखता है

एक TLS फिंगरप्रिंट उस कनेक्शन का वर्णन करता है जो कैप्चर पॉइंट पर देखा जाता है। यदि एक प्रॉक्सी TLS समाप्त करती है और एक अलग अपस्ट्रीम TLS कनेक्शन शुरू करती है, तो लक्ष्य प्रॉक्सी के outgoing हैंडशेक को देखता है। यदि ट्रैफ़िक को बिना TLS समाप्ति के टनल किया जाता है, तो मूल क्लाइंट का हैंडशेक गंतव्य के लिए दृश्यमान रह सकता है।

यह भेद कुछ आवश्यक है जब एंटरप्राइज गेटवे और प्रबंधित संग्रह सेवाओं का निदान करते समय। किसी सेवा के लिए एप्लिकेशन के स्थानीय संबंध पर किया गया एक माप केवल उस सेवा संबंध का वर्णन कर सकता है। यह स्वचालित रूप से सेवा के लक्षित वेबसाइट से अलग संबंध को प्रकट नहीं करता है।

एक उपयोगी आरेख को प्रत्येक TLS समाप्ति बिंदु की पहचान करनी चाहिए। लेबल करें कि कौन सा क्लाइंट प्रत्येक कनेक्शन प्रारंभ करता है और यहां फिंगरप्रिंट एकत्रित होता है। उस जानकारी के बिना, "ब्राउज़र के पास यह फिंगरप्रिंट है" जैसे दावों का अर्थ विभिन्न नेटवर्क पथों को हो सकता है और यह परस्पर विरोधी रिपोर्ट उत्पन्न कर सकता है।

एक फिंगरप्रिंट किस चीज़ का समर्थन कर सकता है

एक फिंगरप्रिंट ट्रैफ़िक को समूहित करने, परिवर्तनों की जांच करने, या व्यापक वर्गीकरण में योगदान करने में मदद कर सकता है। जब एक ही सॉफ़्टवेयर व्यवहार कई पतों पर दिखाई देता है, तो यह उपयोगी हो सकता है। यह एक ऑपरेटर को यह पहचानने में भी मदद कर सकता है कि एक रिलीज़ ने एक अधिकृत क्लाइंट द्वारा प्रस्तुत नेटवर्क स्टैक को बदल दिया है।

एक फिंगरप्रिंट अकेला इरादे को स्थापित नहीं कर सकता। उसी पुस्तकालय का उपयोग एक निगरानी सेवा, एक डेटा पाइपलाइन, और एक दुर्व्यवहार करने वाले प्रोग्राम द्वारा किया जा सकता है। पूरे समूह को रोकने से वैध ग्राहकों पर प्रभाव पड़ सकता है। अवलोकन को अनुरोधित कार्रवाई, प्राधिकरण, और प्रासंगिक ट्रैफ़िक संदर्भ के साथ संयोजित करें।

विशेषता की व्यावहारिक विशिष्टता उस जनसंख्या पर निर्भर करती है जिसे मापा जा रहा है और बनाए रखी गई क्षेत्रों पर। एक डेटासेट में जो मान दुर्लभ है, वह दूसरे में सामान्य हो सकता है। इसलिए, एक फिंगरप्रिंट डेटाबेस लेबल को एक अधिग्रहण के रूप में देखा जाना चाहिए, इसे जांचने के लिए एक परिकल्पना के रूप में न कि एक अविवादित पहचान रिकॉर्ड के रूप में।

एक जिम्मेदार सत्यापन योजना

TLS व्यवहार की पुष्टि एक सर्वर या कैप्चर वातावरण का उपयोग करके करें जिसे आप नियंत्रित करते हैं और निरीक्षण के लिए अधिकृत हैं। एक सीमित अनुरोध भेजें, वास्तविक हैंडशेक को कैप्चर करें, और संग्रहणकर्ता और फिंगरप्रिंट विधि को रिकॉर्ड करें। निकाली गई फ़ील्ड्स की तुलना विधि के प्रलेखित परिवर्तन के साथ करें।

एक पृष्ठ जो केवल ब्राउज़र जावास्क्रिप्ट गुणों को पढ़ता है, सीधे यह साबित नहीं कर सकता कि सर्वर ने कौन सा TLS हैंडशेक देखा। एक विश्वसनीय निदान की आवश्यकता होती है कि सर्वर-साइड अवलोकन या एक उपयुक्त नेटवर्क कैप्चर हो, फिर उस अवलोकन को ब्राउज़र अनुरोध के साथ जोड़ा जा सके जिसका परीक्षण किया जा रहा है।

जब ग्राहकों की तुलना करें, तो एक समय में एक चर बदलें। गंतव्य और प्रॉक्सी पथ को स्थिर रखें, सॉफ्टवेयर संस्करणों को रिकॉर्ड करें, और देखी गई परिणाम को औसत दावे से अलग करें जो उपकरण के सभी संस्करणों के बारे में है। एकल नमूना नमूने को स्थापित करता है, न कि पूरे उत्पाद परिवार की एक स्थायी विशेषता।

TLS फ़िंगरप्रिंटिंग ब्राउज़र-आधारित संग्रह में

The ब्राउज़र फ़िंगरप्रिंट अनुकूलन चर्चा ब्राउज़र परिवेश के एक अन्य भाग का वर्णन करता है। स्वीकार्यता परीक्षण बनाते समय उन जावास्क्रिप्ट और रेंडरिंग सतहों को TLS से अलग रखें। कैनवास अवलोकन कैनवास व्यवहार के बारे में उपयोगी साक्ष्य है, न कि ClientHello के बारे में।

समीक्षा वर्तमान मूल्य निर्धारण आपके द्वारा उपयोग की जाने वाली अवसंरचनाओं के लिए, और कनेक्शन सफलता को अलग से स्वीकृत सामग्री के रूप में मापें। एक पूरा TLS कनेक्शन अभी भी एक चैलेंज पृष्ठ या उस दस्तावेज़ की ओर ले जा सकता है जिसमें आवश्यक डेटा नहीं है।

निष्कर्ष

TLS फिंगरप्रिंटिंग चयनित हैंडशेक विशेषताओं को एक तुलनीय प्रतिनिधित्व में बदल देता है। इसकी उपयोगिता उस एल्गोरिदम, कैप्चर पॉइंट, और क्लाइंट संदर्भ को जानने पर निर्भर करती है। उन विवरणों को बनाए रखें, नेटवर्क परत को ब्राउज़र परत से अलग करें, और फिंगरप्रिंट्स का उपयोग एक व्याख्या के भाग के रूप में करें बजाय कि उन्हें एक पूर्ण पहचान या पहुँच निर्णय के रूप में मानें।