qtap de Qpoint lit le texte en clair TLS via eBPF sans proxy

L'audit de sécurité, le débogage d'API et les travaux d'intégration se heurtent tous au même mur : le trafic est chiffré en TLS, donc découvrir ce qu'une application envoie réellement implique généralement de monter un proxy d'interception, d'installer des certificats, de reconfigurer chaque client et d'accepter une latence sur un chemin que l'on a désormais altéré.

Qtap, de l'entreprise d'observabilité Qpoint, s'attaque au problème là où le chiffrement se produit réellement. Son agent eBPF scanne les binaires et bibliothèques de chaque processus à la recherche de symboles TLS et s'accroche à SSL_read et SSL_write avec des sondes en espace utilisateur, capturant les données sous leur forme non chiffrée d'origine et y attachant le contexte qu'un proxy ne voit jamais : processus, conteneur, hôte, utilisateur et protocole. Les programmes liés statiquement sont traités en sondant directement le binaire, et les mainteneurs ont expliqué sur le fil de lancement que les binaires Go sont couverts par des décalages de structure précalculés par version ainsi qu'un scanner ELF.

Le bénéfice est l'inspection sans instrumentation : aucune modification d'application, aucun proxy, aucune gestion de certificats, et une revendication de fonctionnement hors bande avec une surcharge minimale. Le projet a été lancé sur Hacker News en mai 2025 avec 259 points et 78 commentaires, et au moment du catalogage le dépôt Apache-2.0 affichait 1,5 k étoiles et 289 commits, Qpoint construisant ses offres d'observabilité de sortie sur le même agent.

Lire le texte en clair là où le chiffrement commence, non là où le trafic passe

S'accrocher à SSL_read et SSL_write place l'observateur exactement là où le texte en clair existe, de sorte que rien n'a besoin d'être déchiffré sur le réseau.

Ni proxy ni certificats ne signifient que les systèmes hérités, les binaires tiers et les processus éphémères peuvent être inspectés sans y toucher.

La vue du noyau porte le contexte du processus, du conteneur, de l'hôte et de l'utilisateur, ce qu'un proxy au niveau réseau ne peut pas attribuer.

Parce que le trafic est observé plutôt que redirigé, le chemin de connexion et la latence de l'application restent inchangés.

L'ouverture du code de l'agent avec un mode démo a permis à la communauté de sonder l'approche, ce qui a fait émerger la question des binaires Go et y a répondu publiquement.

Le trafic chiffré est du texte en clair à la frontière où il est produit ; interceptez-le là avec une visibilité au niveau du noyau, et vous pouvez inspecter les applications sans en modifier une seule.

Au moment où le lot a catalogué le projet, qtap affichait 1,5 k étoiles et 289 commits sous licence Apache 2.0, les auteurs le qualifiant encore de développement précoce. Le dépôt fournit une interface web de style Chrome DevTools, des points de terminaison de traces et de métriques OpenTelemetry, un tableau de bord Grafana d'exemple, ainsi que des scripts de démo et d'installation en une commande, et l'entreprise qui le porte, Qpoint, construit des produits d'inventaire et d'alerte pour le trafic de sortie sur le même agent.