Отпечаток рукопожатия: коротко о том, что это

Вопрос всплывает в трёх темах подряд, вынесу отдельно.

Когда клиент стучится по HTTPS, первым делом он отправляет приветствие. В приветствии перечислено, какие шифры он умеет, какие версии протокола готов поднять, какие расширения поддерживает, какие кривые знает, что предлагает по ALPN. Идёт всё это открытым текстом: шифрования ещё нет, поднимать его как раз собираются.

Так вот, порядок и состав этого перечня у каждой библиотеки свой и от запроса к запросу не меняется. Сверни перечень в одну строку, посчитай от неё хеш, получишь опознавательный знак клиента. Это и называют отпечатком рукопожатия.

то есть площадка понимает, чем я хожу, ещё до того как я хоть что-то попросил?

Ровно так. Заголовки запроса, включая User-Agent, уедут потом и уже внутри шифрования. Отпечаток снимается раньше, на первом пакете.

Дополню, потому что практическая часть тут интереснее теории.

Отпечаток сам по себе никого не выдаёт, площадке важна сходимость. Она берёт отпечаток рукопожатия, берёт User-Agent из запроса и смотрит, бьются ли они между собой. Заявленный свежий браузер с подписью типовой консольной утилиты это несходимость, и дальше начинаются проверки.

Причём подделать одну половину бесполезно. Поменяли строку User-Agent, а рукопожатие осталось прежним, несходимость только выросла. Работать надо тем стеком, за который себя выдаёте: браузер ходит браузером, а если нужен код, берите библиотеку, которая умеет повторять браузерное приветствие целиком, вместе с порядком расширений.

Посмотреть у себя проще всего так:

openssl s_client -connect example.org:443 -tlsextdebug -msg < /dev/null

В выводе ищите блок ClientHello, там будут и шифры, и расширения в том порядке, в каком уходят. Кому привычнее глазами, в Wireshark фильтр tls.handshake.type == 1 показывает то же самое по каждому соединению отдельно.

Проверяла на своём прогоне, всё сходится. Перебор User-Agent на голом коде не давал ничего, отказы шли ровно с той же частотой.

Подытожу, чтобы тему можно было кидать ссылкой.

Отпечаток снимается с первого пакета, до всякого шифрования, и держится за библиотекой. Сам факт отпечатка ни о чём не говорит, смотрят на его сходимость с тем, что клиент про себя написал в заголовках. Отсюда и порядок действий: либо ходить настоящим браузером, либо брать сборку, повторяющую его приветствие. Правка одних заголовков картину только портит.