Qpoints qtap liest TLS-Klartext über eBPF ohne Proxy

Sicherheitsaudits, API-Debugging und Integrationsarbeit stoßen alle auf dieselbe Hürde: Der Datenverkehr ist TLS-verschlüsselt, sodass man meist einen Man-in-the-Middle-Proxy aufsetzen, Zertifikate installieren, jeden Client neu konfigurieren und Latenz auf einem Pfad akzeptieren muss, den man gerade verändert hat.

Qtap, vom Observability-Unternehmen Qpoint, packt das Problem dort an, wo die Verschlüsselung tatsächlich stattfindet. Sein eBPF-Agent durchsucht die Binärdateien und Bibliotheken jedes Prozesses nach TLS-Symbolen und hängt sich mit User-Space-Probes an SSL_read und SSL_write, erfasst die Daten in ihrer ursprünglichen unverschlüsselten Form und fügt den Kontext hinzu, den ein Proxy nie sieht: Prozess, Container, Host, Benutzer und Protokoll. Statisch gelinkte Programme werden durch direktes Probing der Binärdatei abgedeckt, und die Maintainer erklärten im Launch-Thread, dass Go-Binärdateien durch vorberechnete Struktur-Offsets pro Version plus einen ELF-Scanner abgedeckt werden.

Der Gewinn ist Inspektion ohne Instrumentierung: keine Anwendungsänderungen, kein Proxy, keine Zertifikatsverwaltung und der Anspruch eines Out-of-Band-Betriebs mit minimalem Overhead. Das Projekt startete im Mai 2025 auf Hacker News mit 259 Punkten und 78 Kommentaren, und zum Zeitpunkt der Katalogisierung zeigte das Apache-2.0-Repository 1,5k Sterne und 289 Commits, wobei Qpoint seine Egress-Observability-Angebote auf demselben Agenten aufbaut.

Den Klartext dort lesen, wo die Verschlüsselung beginnt, nicht dort, wo der Datenverkehr vorbeikommt

Das Anhängen an SSL_read und SSL_write platziert den Beobachter genau dort, wo Klartext existiert, sodass auf der Leitung nichts entschlüsselt werden muss.

Kein Proxy und keine Zertifikate bedeuten, dass Legacy-Systeme, Binärdateien von Drittanbietern und kurzlebige Prozesse inspiziert werden können, ohne sie anzufassen.

Die Sicht des Kernels trägt Prozess-, Container-, Host- und Benutzerkontext, den ein Proxy auf Netzwerkebene nicht zuordnen kann.

Da der Datenverkehr beobachtet statt umgeleitet wird, bleiben der eigene Verbindungspfad und die Latenz der Anwendung unverändert.

Die Open-Source-Veröffentlichung des Agenten mit einem Demo-Modus ermöglichte es der Community, den Ansatz zu prüfen, wodurch die Frage nach den Go-Binärdateien aufkam und öffentlich beantwortet wurde.

Verschlüsselter Datenverkehr ist an der Grenze, an der er entsteht, Klartext; fängt man ihn dort mit Sichtbarkeit auf Kernel-Ebene ab, kann man Anwendungen inspizieren, ohne auch nur eine einzige von ihnen zu verändern.

Zum Zeitpunkt der Katalogisierung des Projekts durch die Charge zeigte qtap 1,5k Sterne und 289 Commits unter der Apache-2.0-Lizenz, wobei die Autoren es weiterhin als frühe Entwicklung bezeichneten. Das Repository liefert eine Web-Oberfläche im Stil der Chrome DevTools, OpenTelemetry-Trace- und -Metrik-Endpunkte, ein Beispiel-Grafana-Dashboard sowie Demo- und Installationsskripte mit einem Befehl, und das dahinterstehende Unternehmen Qpoint baut auf demselben Agenten Inventar- und Alarmierungsprodukte für Egress-Datenverkehr.