تبدأ جلسة مشفرة عبر بروتوكول TLS بين حاسوبك وخادم بعيد. عند مراجعة مخططات حركة البيانات التقليدية، يبدو الاتصال كسيل مبهم من البيانات المشفرة التي يتعذر فك رموزها. لكن بالنسبة لأجهزة الفحص العميق للحزم (DPI)، وجدران الحماية المؤسسية، ونقاط توزيع المحتوى (CDN)، فإن الحزمة الأولى المنقولة عبر السلك—حزمة TLS ClientHello—تكشف القصة كاملة. في أقل من جزء من الألف من الثانية، تحسب بوابة الرصد سلسلة نصية مختصرة: t13d1516h2_8daaf6152771_e562703429b6. يدرك النظام على الفور أنك لا تستخدم متصفح ويب معتاد، بل تشغل نصاً برمجياً مكتوباً بلغة Go أو برنامج وكيل مخصص. دون فك تشفير بايت واحد من محتوى البيانات، تم تصنيف تطبيقك، وتحديد نمطه، وإدراجه ضمن سجلات المتابعة.

تُعرف هذه التقنية ببصمات TLS الرقمية (TLS Fingerprinting)، ويمثل معيار JA4 أحدث مواصفاتها التشغيلية في قطاع أمن الشبكات. من خلال تقييم طريقة تفاوض التطبيقات على المعايير التشفيرية عند بدء المصافحة، تتمكن الأنظمة الوسيطة من التعرف على البنية البرمجية، واكتشاف أدوات الخصوصية، والربط بين أنشطة المستخدم عبر شبكات متعددة دون المساس بالتشفير الشامل.

[التطبيق على جهازك]
       │
       │  ١. إرسال حزمة المصافحة الأولى TLS ClientHello (نص صريح)
       ▼
[مزود خدمة الإنترنت / جدار الحماية / أجهزة فحص الحزم DPI]
       │
       │  ٢. استخراج البيانات: إصدار TLS، خوارزميات التشفير، الملحقات، ALPN
       ▼
[محرك احتساب بصمة JA4 ينتج الرمز: t13d1516h2_8daaf6152771_e562703429b6]
       │
       ├─► هل يتطابق مع متصفح شائع؟ (كلا ➔ وضع علامة / تقييد السرعة / حجب)
       └─► مطابقة السجل مع جلسات سابقة عند تبديل شبكة Wi-Fi أو بيانات الهاتف

تطور تحليل المصافحة التشفيرية: من JA3 إلى JA4

لفهم كيفية قيام أجهزة المراقبة بتحديد ملامح الاتصالات المشفرة، يجب الوقوف على سبب إرسال المعايير الأولية دون تشفير. عندما ينشئ تطبيق ما جلسة HTTPS أو TLS، لا يكون الطرفان قد توصلا بعد إلى مفاتيح جلسة مشتركة. لذلك، فإن الحزمة الاستهلالية—TLS ClientHello—يجب أن تعبر الوسيط الفيزيائي في صورة نص صريح.

وفقاً لمواصفات IETF في الوثيقة RFC 8446، يُشفر بروتوكول TLS 1.3 معظم المراحل اللاحقة، مثل تبادل الشهادات. ومع ذلك، تستمر حزمة ClientHello في إعلان مجموعة واسعة من بيانات التهيئة:

  • إصدارات البروتوكول المدعومة (TLS 1.2 و TLS 1.3).
  • قائمة مجموعات التشفير (Cipher Suites) مرتبة حسب تفضيل العميل.
  • الملحقات المصرح بها، متضمنة المنحنيات الإهليلجية، وخوارزميات التوقيع، وأنواع تبادل المفاتيح.
  • معاملات التفاوض على بروتوكول طبقة التطبيق (ALPN)، مثل الرمز h2 لـ HTTP/2 أو http/1.1.

في عام 2017، قدم باحثو الأمن تقنية JA3 التي جمعت هذه البيانات في سلسلة نصية واحدة ثم قامت بتجزئتها بخوارزمية MD5. ورغم انتشارها في مراكز العمليات الأمنية، عانت من ثغرات تصميمية: تكرر حدوث تصادمات في قيم MD5، وكانت السلسلة الناتجة المكونة من 32 حرفاً غير قابلة للقراءة البشرية المباشرة.

في عام 2023، أطلق الباحث جون ألثاوس معيار JA4 ضمن حزمة JA4+. يقسم هذا المعيار البصمة إلى نسق تركيبي واضح مؤلف من ثلاثة أجزاء تفصل بينها شرطات سفلية:

+------------------+------------------+------------------+
|      الجزء A     |      الجزء B     |      الجزء C     |
| (الخصائص العامة) | (تجزئة الخوارزم) | (تجزئة الملحقات) |
|   t13d1516h2     |   8daaf6152771   |   e562703429b6   |
+------------------+------------------+------------------+

البنية التركيبية لبصمة JA4

١. الجزء A (١٠ خانات): يختصر آليات البروتوكول الرئيسية في شكل نصي مقروء دون تجزئة:

  • نوع بروتوكول النقل: الرمز t لـ TCP، والرمز q لـ QUIC (UDP)، والرمز d لـ DTLS.
  • إصدار TLS: القيمة 13 لـ TLS 1.3، والقيمة 12 لـ TLS 1.2.
  • مؤشر اسم الخادم (SNI): الحرف d في حال تضمين اسم النطاق، والحرف i إذا كان الاتصال يعتمد عنوان IP مجرداً.
  • عدد خوارزميات التشفير: عدد المجموعات المقترحة (رقمان، مثل 15).
  • عدد الملحقات: عدد إضافات TLS المصرح بها (رقمان، مثل 16).
  • رموز ALPN: الحرف الأول من أول قيمة ALPN والحرف الأخير من آخر قيمة (مثل h2). ٢. الجزء B (١٢ خانة): قيمة تجزئة مقتضبة بخوارزمية SHA-256 لكافة خوارزميات التشفير بعد ترتيبها أبجدياً ورقمياً. ٣. الجزء C (١٢ خانة): قيمة تجزئة مقتضبة بخوارزمية SHA-256 لكافة الملحقات وخوارزميات التوقيع بعد ترتيبها أبجدياً.

نظراً لوضوح الجزء A، يمكن لمسؤول الشبكة أو أنظمة الجدران النارية بمجرد قراءة الرمز t13d1516h2 استيعاب طبيعة الاتصال الأساسية دون الحاجة الفورية لمطابقة قواعد البيانات.

كيف توظف أجهزة الرصد بصمات JA4

تعتمد شركات تزويد الخدمة، وشبكات توزيع المحتوى، وأنظمة الأمان المؤسسية على بصمات JA4 لتحقيق ثلاثة أهداف:

                    ┌──► ١. تصنيف البرمجيات والأنظمة المستخدمة
                    │    (التمييز بين المتصفحات وحزم البرمجة مثل Go و Python)
بصمة JA4 الرقمية ───┼──► ٢. ربط هوية الأجهزة عبر الشبكات المتغيرة
                    │    (متابعة الجهاز رغم تبدل عنوان IP باستمرار)
                    └──► ٣. الترشيح الانتقائي لحركة البيانات
                         (حظر البرمجيات غير المصرح بها في البيئات المحمية)

١. تصنيف بيئات التشغيل والتطبيقات

تعتمد متصفحات الويب المعتادة ترتيباً متبايناً في التشفير مقارنة بالمكتبات البرمجية وأدوات سطر الأوامر.

  • تتبع متصفحات Chrome و Edge تسلسلاً دقيقاً لمجموعات التشفير، وقوائم الملحقات، وقيم GREASE.
  • يمتلك متصفح Firefox نظاماً خاصاً في ترتيب المنحنيات الإهليلجية ومفاتيح المشاركة.
  • ترسل المكتبات القياسية في Go (crypto/tls) و Python (urllib3) و Node.js خيارات محددة مسبقاً تختلف تماماً عن المتصفحات الشائعة.

عندما يرسل تطبيق ما ترويسة User-Agent تدعي أنه متصفح سطح مكتب، بينما تظهر حزمة اتصاله بصمة JA4 مطابقة لمكتبة Go، فإن بوابة الأمان تكشف فوراً طبيعة التطبيق وتطبق عليه السياسات المناسبة.

٢. الربط بين نشاط الأجهزة عبر شبكات مختلفة

عند الانتقال من شبكة Wi-Fi منزلية إلى أبراج الهاتف المحمول أو شبكات الفنادق، يتغير عنوان IP الخارجي باستمرار. مع ذلك، فإن توليفة إصدار نظام التشغيل، والمتصفح، ووحدات المعالجة التشفيرية على جهازك تنتج بصمة JA4 موحدة عبر جميع هذه الشبكات.

تقوم مجسات الرصد السلبية في عقد العبور بتسجيل هذه البصمة الثابتة. ومن خلال مطابقة نفس رمز تجزئة JA4 عبر عناوين IP مختلفة، يمكن للأنظمة بناء سجل تاريخي متصل لنشاط الجهاز دون الحاجة لملفات تعريف الارتباط.

٣. فلترة الاتصالات وفق المعايير الإدارية

في الشبكات المؤسسية، تستخدم أجهزة الفحص المتقدم قواعد بيانات JA4 لمنع التطبيقات غير المعتمدة. ويجري إبطاء أو إنهاء أي اتصال لا يطابق البصمات المعتمدة للمتصفحات القياسية.

مقارنة مدى انكشاف البصمة حسب نمط النقل

معمارية الاتصال درجة وضوح حزمة ClientHello إمكانية استخراج JA4 محلياً خطر التصنيف بواسطة أنظمة DPI مدى انكشاف البنية البرمجية
الاتصال المباشر مكشوفة كلياً بنص صريح استخراج فوري لبصمة المتصفح مرتفع: تصنيف فوري للمتصفح والنظام مرتفع: انكشاف مواصفات مكتبة التشفير
وكيل SOCKS5 / HTTP مكشوفة على Wi-Fi المحلي بلا تشفير خارجي استخراج سهل عند نقطة العبور الأولى مرتفع على مسار الشبكة المباشر مرتفع: وضوح بصمة التطبيق الأصلي
نفق TLS مزدوج طبقتان متداخلتان من بروتوكول TLS إنشاء بصمة JA4 خاصة بالطبقة الخارجية متوسط: ظهور الطبقة الخارجية كبرنامج مريب متوسط: انكشاف مواصفات برنامج الوكيل
نفق VPN عبر RiceGuard تغليف كامل داخل حزم WireGuard UDP مستبعد تماماً (غياب حزم TLS صريحة) منعدم: لا تظهر إلا حزم UDP الموحدة منعدم: عزل تام لمعاملات التطبيق

حيل التمويه وعوائقها العملية

حاول مطورو البرمجيات اعتماد تقنيات لتغيير بصمة الاتصال على مستوى التطبيقات، لكن هذه المساعي واجهت عقبات بنيوية.

+------------------------------------------------------------------------+
|                     محاولات التمويه على مستوى التطبيق                   |
+------------------------------------------------------------------------+
| ١. آلية GREASE (RFC 8701) ──► يتم استبعادها تلقائياً قبل تجزئة JA4     |
| ٢. خلط ترتيب الملحقات     ──► يعاد ترتيبها أبجدياً قبل حساب SHA-256    |
| ٣. استنساخ مظهر المتصفح   ──► ينكشف سريعاً مع تحديثات الأنظمة وتغيرها  |
+------------------------------------------------------------------------+

١. آلية GREASE (RFC 8701)

لتجنب توقف أجهزة التوجيه القديمة عند استقبال قيم بروتوكول غير مألوفة، وضعت IETF آلية GREASE لحقن قيم عشوائية ضمن القوائم.

مع ذلك، صُمم معيار JA4 لاستبعاد كافة قيم GREASE وتطهير البيانات قبل مرحلة التجزئة، مما يحافظ على ثبات البصمة المحسوبة.

٢. إعادة ترتيب الملحقات

تحاول بعض الأدوات تغيير مواقع الملحقات بصورة عشوائية داخل حزمة ClientHello. إلا أن خوارزمية JA4 تعيد ترتيب الملحقات ومجموعات التشفير أبجدياً قبل تشغيل دالة SHA-256، مما يبقي البصمة الناتجة مطابقة في كافة الأحوال.

٣. محاكاة المتصفحات الشائعة

تتطلب المحاولات اليدوية لاستنساخ حزم متصفح Chrome متابعة دقيقة ومستمرة. ومع كل تحديث للمتصفح تتغير معايير التشفير، مما يجعل أدوات المحاكاة الثابتة عرضة للانكشاف بسبب تضارب النسخ.

البنية الدفاعية: التغليف الشامل عبر بروتوكول RiceGuard

نظراً لأن معالجة متغيرات TLS على مستوى التطبيقات تبقى معرضة للقصور، فإن الحل الموثوق يقوم على نقل خط الدفاع إلى طبقة الشبكة (Layer-3).

[المتصفح / التطبيق على الجهاز]
                 │
                 ▼ (إصدار حزمة ClientHello تحمل بصمة JA4 محددة)
┌─────────────────────────────────────────────────────────────┐
│ النطاق التشفيري لبروتوكول RiceGuard في طبقة الشبكة         │
│                                                             │
│ ١. اعتراض كافة حزم IPv4/IPv6 عند محول TUN الافتراضي         │
│ ٢. إدراج الحزمة بالكامل ضمن حمولة ChaCha20-Poly1305         │
│ ٣. إخفاء معاملات الاتصال داخل أطر UDP الموحدة               │
└──────────────────────────────┬──────────────────────────────┘
                               │
                               ▼ (سيل حزم مشفرة عبر بروتوكول WireGuard)
[موجه Wi-Fi المحلي / أنظمة DPI] ◄── لا تظهر أي حزم من نوع TLS
                               │
                               ▼
[بوابة خوادم VPNRice الآمنة]
                               │
                               ▼ (فك التغليف وإعادة الإرسال للموقع)
[خادم الويب المستهدف] ◄── يستقبل الاتصال من عنوان الخادم العام

يعالج نظام VPNRice مخاطر البصمات الشبكية عبر بنيته المتقدمة في بروتوكول RiceGuard:

١. تغليف كامل في طبقة الشبكة

على خلاف البرامج الوكيلة التي تعمل في الطبقة السابعة (Layer-7)، يعمل RiceGuard كبطاقة شبكة افتراضية (واجهة TUN) في الطبقة الثالثة (Layer-3). عندما ينشئ التطبيق حزمة TLS ClientHello، لا تعبر الحزمة أبداً بشكلها الأصلي عبر بطاقة الشبكة الفعلية.

يتم تغليف حزمة IP برمتها—شاملة الترويسات وإطارات TCP وبنية TLS—داخل حزم WireGuard الموثقة بتشفير ChaCha20-Poly1305 أو AES-256-GCM. لا تستطيع أجهزة الرصد المحلية سوى رؤية حزم UDP متجانسة، مما يعطل قدرتها على جمع البيانات اللازمة لحساب بصمة JA4.

٢. قطع مسار الربط بين الشبكات

مع بقاء حركة بيانات TLS داخل النفق المحمي، تفقد أدوات المراقبة إمكانية استخدام بصمات JA4 لتتبع تنقل الجهاز بين نقاط الاتصال المتعددة. ولا ترصد الشبكات المحلية سوى اتصال مشفر متوجه إلى عنوان خادم محدد.

٣. الفصل النهائي للهوية عند نقطة الخروج

عند وصول البيانات إلى بوابة خوادم VPNRice، تقوم البوابة بفك التغليف ونقل الطلب إلى وجهته النهائية على الويب. يرى الموقع الهدف حزم بيانات واردة من خادم يمتلك نطاقاً واسعاً، مما يعزل الخصائص البرمجية تماماً عن مسار اتصال المستخدم الشخصي.

إرشادات عملية لحماية البيانات

١. الاعتماد على شبكات VPN في طبقة الشبكة: تجنب الاكتفاء بوكلاء التطبيقات غير المشفرة على الشبكات العامة، واستخدم تطبيق VPNRice المزود ببروتوكول RiceGuard لتشفير كافة الحزم قبل خروجها للواجهة المادية. ٢. تفعيل قفل الشبكة التلقائي (Kill Switch): قم بتمكين خاصية Kill Switch داخل التطبيق ليقوم جدار الحماية بقطع سيل البيانات فوراً في حال تذبذب الاتصال، مانعاً تسرب حزم ClientHello الصريحة. 3. تحديث المتصفحات بانتظام: احرص على استخدام أحدث إصدارات برامج التصفح لتتوافق الخيارات التشفيرية لجهازك مع المعايير الحديثة للويب. 4. دمج التشفير مع نظام DNS خاص: تأكد من معالجة طلبات النطاقات داخل النفق المشفر دون حفظ سجلات، منعاً لربط استعلامات الأسماء بالمؤشرات الزمنية للاتصال.

يساعد فهم تفاصيل عمل البصمات الرقمية المستخدمين على تبني الوسائل الأمنية المناسبة لضمان خصوصية وحماية أنشطتهم على شبكة الإنترنت.