TLS Fingerprinting: как сайты определяют ваше соединение

Большинство пользователей считают, что после подключения к VPN их трафик становится полностью неузнаваемым.

На практике это не совсем так.

Даже если содержимое соединения зашифровано, само поведение соединения может многое рассказать о пользователе.

Именно поэтому в последние годы активно развивается технология TLS Fingerprinting.

Она позволяет определять:

• браузеры;
• VPN-протоколы;
• приложения;
• ботов;
• автоматизированные системы.

Причем без расшифровки самого трафика.

Что такое TLS

TLS (Transport Layer Security) — это протокол шифрования, который используется практически везде.

Когда вы открываете сайт по HTTPS, браузер сначала выполняет TLS Handshake.

Во время него стороны договариваются:

• какой алгоритм шифрования использовать;
• какую версию TLS применять;
• какие ключи будут использоваться;
• как будет защищаться соединение.

После завершения рукопожатия начинается передача зашифрованных данных.

Если трафик зашифрован, что тогда анализируют?

Именно этот вопрос привел к появлению TLS Fingerprinting.

Содержимое пакетов может быть скрыто.

Но параметры самого TLS Handshake остаются видимыми.

Например:

• версия TLS;
• набор Cipher Suites;
• порядок алгоритмов;
• TLS Extensions;
• параметры шифрования;
• особенности реализации клиента.

Разные программы отправляют эти параметры немного по-разному.

Именно это позволяет создавать отпечатки соединений.

Что такое TLS Fingerprint

TLS Fingerprint — это набор характеристик TLS-соединения.

Примерно так же, как Browser Fingerprint помогает определить браузер, TLS Fingerprint помогает определить тип сетевого клиента.

Например, система может понять:

• Chrome это или Firefox;
• VPN это или обычный браузер;
• бот это или человек;
• мобильное приложение или десктопное.

Причем без доступа к содержимому трафика.

Как работает JA3 Fingerprinting

Одним из самых известных методов стал JA3.

Он анализирует параметры TLS ClientHello и превращает их в уникальный идентификатор.

Учитываются:

• версия TLS;
• Cipher Suites;
• Extensions;
• Supported Groups;
• EC Point Formats.

В результате получается строка, которая достаточно точно характеризует клиента.

Например:

• Chrome имеет один набор отпечатков;
• Firefox другой;
• OpenVPN третий;
• различные боты четвертый.

Почему это важно для VPN

Многие VPN-протоколы имеют характерные TLS-отпечатки.

Именно поэтому современные системы могут определять VPN даже без расшифровки трафика.

Например, некоторые реализации OpenVPN годами использовали узнаваемые наборы TLS-параметров.

Для DPI-систем это стало легкой целью.

В результате интернет-провайдер или антифрод-система могут сказать:

«Мы не знаем, что внутри трафика. Но очень похоже, что это VPN.»

Как сайты используют TLS Fingerprinting

Сегодня TLS Fingerprinting активно используется:

• антифрод-системами;
• CDN-платформами;
• рекламными сетями;
• системами обнаружения ботов;
• сервисами защиты от DDoS.

Например, такие компании как:

• Cloudflare
• Akamai

активно анализируют сетевые отпечатки клиентов.

TLS Fingerprint может стать одним из факторов риска наряду с:

• IP-адресом;
• Browser Fingerprint
• поведением пользователя.

Почему некоторые VPN легче обнаружить

Старые VPN-протоколы создавались прежде всего для безопасного туннелирования.

О маскировке тогда почти не думали.

Поэтому многие из них имеют характерные признаки:

• узнаваемые TLS-параметры;
• нестандартные последовательности пакетов;
• специфические Cipher Suites.

Это делает их более заметными для современных DPI-систем.

Именно поэтому появились новые подходы к обфускации трафика.

VPN-соединение должно выглядеть как обычный HTTPS-трафик.

Как современные протоколы обходят TLS Fingerprinting

Новые технологии стараются максимально приблизиться к поведению обычного браузера.

Например:

• SoftEther
• SSTP
• Xray Reality

Их задача — не просто зашифровать трафик.

Их задача — сделать соединение похожим на обычный HTTPS-сайт.

Чем меньше отличий от реального браузера, тем сложнее системе обнаружить VPN.

Как TLS Fingerprinting связан с Browser Fingerprinting

Интересно, что современные системы редко используют только один тип отпечатков.

Обычно они объединяют:

• TLS Fingerprint;
• Browser Fingerprint;
• IP-адрес;
• поведенческие сигналы.

Например:

Chrome Fingerprint + Chrome TLS Fingerprint выглядит естественно.

Но если система видит:

• Browser Fingerprint от Chrome;
• TLS Fingerprint от VPN-клиента;

это уже может стать подозрительным сигналом.

Именно поэтому современные антифрод-системы оценивают всю среду пользователя целиком.

Где здесь могут помочь сервисы Whoer

Хотя Whoer напрямую не показывает TLS Fingerprint, сервис помогает увидеть множество других параметров, которые используются вместе с TLS Fingerprinting:

• IP-адрес;
• DNS-серверы;
• WebRTC;
• геолокацию;
• данные браузера.

На практике антифрод почти никогда не использует только один сигнал.

Поэтому проверка того, что видит сайт о вашем соединении, остается полезным первым шагом.

Кроме того, WhoX VPN использует различные VPN-протоколы для разных сценариев подключения.

Например:

• OpenVPN;
• SSTP;
• SoftEther.

А современные технологии вроде Xray активно изучаются всей VPN-индустрией именно из-за их устойчивости к современным методам анализа трафика.

Можно ли скрыть TLS Fingerprint полностью?

На практике — нет.

Любой сетевой клиент оставляет определенные признаки.

Однако современные протоколы стараются сделать эти признаки максимально похожими на обычный HTTPS-трафик.

Именно поэтому сегодня борьба идет уже не за полную невидимость, а за правдоподобность сетевого поведения.