Inspección de TLS 1.3 con eBPF y kprobes

En TLS 1.2, un analizador pasivo como Wireshark o Zeek podía leer el nombre del servidor contactado (SNI) y los certificados en texto plano en el paquete Client Hello. En TLS 1.3 con ECH, absolutamente toda la negociación viaja cifrada desde el primer paquete. Para la sonda de red perimetral, el tráfico es una corriente opaca de bytes aleatorios en el puerto 443 sin pistas sobre qué dominio o API se está consultando.

Para ver dentro del túnel, muchas empresas desplegaban proxies de inspección profunda (SSL Inspection) que actúan como intermediarios descifrando y volviendo a cifrar cada conexión. Este enfoque tiene tres problemas graves: 1) Rompe el pinning de certificados de aplicaciones móviles y binarios compilados. 2) Introduce una latencia de milisegundos inaceptable para microservicios. 3) Concentra todas las claves privadas en un único punto central de fallo.

Extended Berkeley Packet Filter (eBPF) permite ejecutar programas seguros y verificados directamente dentro del kernel de Linux sin modificar el código fuente del sistema operativo ni recompilar módulos. Al asociar una sonda (uprobe o kprobe) a las llamadas de las librerías criptográficas del sistema (como SSL_read y SSL_write en OpenSSL), eBPF lee el búfer de datos en la memoria del host exactamente en el instante antes de que se cifre para viajar por la red.

Proyectos de código abierto como Cilium Tetragon, Pixie o las utilidades de BCC (sslsonff) permiten extraer telemetría completa: quién hizo la petición (PID del proceso, contenedor, usuario), hacia qué destino exacto y qué contenido transportaba, todo con un consumo de CPU inferior al 1%. Esta técnica combina lo mejor de dos mundos: seguridad criptográfica completa en el cable de red y observabilidad forense total para el equipo de seguridad.