O qtap da Qpoint lê o texto claro do TLS via eBPF sem proxy

Auditoria de segurança, depuração de APIs e trabalhos de integração esbarram sempre no mesmo obstáculo: o tráfego é criptografado com TLS, então descobrir o que um aplicativo realmente envia normalmente exige montar um proxy de man-in-the-middle, instalar certificados, reconfigurar cada cliente e aceitar latência em um caminho que você acabou de alterar.

O Qtap, da empresa de observabilidade Qpoint, ataca o problema onde a criptografia de fato acontece. Seu agente eBPF varre os binários e bibliotecas de cada processo em busca de símbolos TLS e intercepta SSL_read e SSL_write com sondas em espaço de usuário, capturando os dados em sua forma original não criptografada e anexando o contexto que um proxy nunca vê: processo, contêiner, host, usuário e protocolo. Programas com link estático são tratados por meio de sondagem direta do binário, e os mantenedores explicaram na thread de lançamento que binários Go são cobertos por deslocamentos de estrutura pré-calculados por versão, além de um scanner de ELF.

O ganho é a inspeção sem instrumentação: nenhuma alteração no aplicativo, nenhum proxy, nenhum gerenciamento de certificados e a alegação de operação fora de banda com sobrecarga mínima. O projeto foi lançado no Hacker News em maio de 2025 com 259 pontos e 78 comentários, e no momento do catálogo o repositório Apache-2.0 mostrava 1,5 mil estrelas e 289 commits, com a Qpoint construindo suas ofertas de observabilidade de tráfego de saída sobre o mesmo agente.

Ler o texto claro onde a criptografia começa, não onde o tráfego passa

Interceptar SSL_read e SSL_write coloca o observador exatamente onde o texto claro existe, então nada precisa ser descriptografado no tráfego de rede.

Sem proxy e sem certificados, sistemas legados, binários de terceiros e processos de curta duração podem ser inspecionados sem tocá-los.

A visão do kernel carrega contexto de processo, contêiner, host e usuário, que um proxy em nível de rede não consegue atribuir.

Como o tráfego é observado em vez de redirecionado, o caminho de conexão e a latência do próprio aplicativo permanecem inalterados.

Abrir o código do agente com um modo de demonstração permitiu que a comunidade sondasse a abordagem, e foi assim que a questão dos binários Go surgiu e foi respondida em público.

O tráfego criptografado é texto claro na fronteira onde é produzido; intercepte-o ali com visibilidade em nível de kernel e você poderá inspecionar aplicativos sem modificar nenhum deles.

Quando o lote catalogou o projeto, o qtap mostrava 1,5 mil estrelas e 289 commits sob a licença Apache 2.0, com os autores ainda o descrevendo como desenvolvimento inicial. O repositório traz uma interface web no estilo Chrome DevTools, endpoints de traces e métricas OpenTelemetry, um painel Grafana de exemplo e scripts de demonstração e instalação com um único comando, e a empresa por trás dele, a Qpoint, constrói produtos de inventário e alerta para tráfego de saída sobre o mesmo agente.