qtap de Qpoint lee el texto plano de TLS mediante eBPF sin proxy

La auditoría de seguridad, la depuración de API y el trabajo de integración chocan siempre con el mismo muro: el tráfico está cifrado con TLS, así que averiguar qué envía realmente una aplicación suele implicar levantar un proxy de intermediario, instalar certificados, reconfigurar cada cliente y aceptar latencia en una ruta que ahora se ha alterado.

Qtap, de la empresa de observabilidad Qpoint, ataca el problema donde realmente ocurre el cifrado. Su agente eBPF escanea los binarios y bibliotecas de cada proceso en busca de símbolos TLS y engancha SSL_read y SSL_write con sondas en espacio de usuario, capturando los datos en su forma original sin cifrar y adjuntando el contexto que un proxy nunca ve: proceso, contenedor, host, usuario y protocolo. Los programas enlazados estáticamente se manejan sondeando el binario directamente, y los mantenedores explicaron en el hilo de lanzamiento que los binarios de Go se cubren mediante desplazamientos de estructura precalculados por versión más un escáner ELF.

El beneficio es la inspección sin instrumentación: sin cambios en la aplicación, sin proxy, sin gestión de certificados y con la afirmación de una operación fuera de banda con sobrecarga mínima. El proyecto se lanzó en Hacker News en mayo de 2025 con 259 puntos y 78 comentarios, y en el momento del catálogo el repositorio Apache-2.0 mostraba 1,5k estrellas y 289 commits, con Qpoint construyendo sus ofertas de observabilidad de egreso sobre el mismo agente.

Leer el texto plano donde empieza el cifrado, no donde pasa el tráfico

Enganchar SSL_read y SSL_write sitúa al observador exactamente donde existe el texto plano, de modo que no hace falta descifrar nada en la red.

Sin proxy y sin certificados, se pueden inspeccionar sistemas heredados, binarios de terceros y procesos de corta duración sin tocarlos.

La visión del kernel aporta contexto de proceso, contenedor, host y usuario, que un proxy a nivel de red no puede atribuir.

Como el tráfico se observa en lugar de redirigirse, la ruta de conexión y la latencia de la propia aplicación no cambian.

Publicar el agente como código abierto con un modo de demostración permitió a la comunidad sondear el enfoque, que es como surgió la cuestión de los binarios de Go y se respondió en público.

El tráfico cifrado es texto plano en el límite donde se produce; interceptarlo allí con visibilidad a nivel de kernel permite inspeccionar aplicaciones sin modificar ni una sola de ellas.

Cuando el lote catalogó el proyecto, qtap mostraba 1,5k estrellas y 289 commits bajo la licencia Apache 2.0, y los autores seguían calificándolo de desarrollo temprano. El repositorio incluye una interfaz web al estilo de Chrome DevTools, endpoints de trazas y métricas de OpenTelemetry, un panel de Grafana de ejemplo y scripts de demostración e instalación de un solo comando, y la empresa que lo respalda, Qpoint, construye productos de inventario y alertas para el tráfico de egreso sobre el mismo agente.