💻 computer science

eMicro: Real-Time Multi-Hop Access Control for Microservices with eBPF

El artículo presenta eMicro, un sistema de defensa basado en eBPF y eficiente que aplica control de acceso de múltiples saltos en tiempo real para microservicios mediante la codificación de políticas de seguridad como autómatas de estados finitos deterministas para prevenir ataques complejos de múltiples saltos con una sobrecarga de tiempo de ejecución insignificante.

Autores originales: Rizky Ramadhana Putra, Osama Bajaber, Saimon Amanuel Tsegai, Teryl Taylor, Frederico Araujo, Yuede Ji, Peng Gao

Publicado 2026-08-07

📖 9 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Rizky Ramadhana Putra, Osama Bajaber, Saimon Amanuel Tsegai, Teryl Taylor, Frederico Araujo, Yuede Ji, Peng Gao

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que el internet es una ciudad gigante y bulliciosa donde cada edificio es un trabajador diminuto y especializado llamado "microservicio". En lugar de una enorme fábrica que lo hace todo, estos trabajadores se pasan notas entre sí para completar un trabajo. A veces, una nota va de la Panadería al Banco, luego al Guardia de Seguridad y finalmente a la Bóveda. Así es como funcionan las aplicaciones modernas: están hechas de miles de estos pequeños servicios comunicándose en una danza compleja.

Pero aquí está la parte difícil: los guardias de seguridad suelen revisar solo a la persona que tienen justo enfrente. Si la Panadería envía una nota al Banco, el guardia verifica si la Panadería tiene permiso para hablar con el Banco. No miran cómo llegó la Panadería allí. Esto crea un vacío legal escurridizo. Un mal actor podría engañar a la Panadería para que envíe una nota al Banco, y el Banco podría pensar: "¡Ah, la Panadería está hablando conmigo, está bien!", sin darse cuenta de que la Panadería estaba siendo forzada por un hacker. Esto se llama un "ataque de múltiples saltos" (multi-hop attack), donde el mal actor salta de un trabajador legítimo a otro, construyendo una cadena de confianza que parece correcta en cada paso individual, pero que es un desastre de principio a fin.

El artículo que estás a punto de leer, llamado eMicro, aborda exactamente este problema. Se pregunta: ¿Cómo detenemos estas cadenas escurridizas sin ralentizar todo o forzar a cada trabajador a cargar una mochila gigante y pesada con su historia? Los autores, un equipo de investigadores de Virginia Tech, IBM y otros, construyeron un sistema que actúa como un policía de tráfico súper inteligente e invisible. En lugar de solo revisar a la persona en la puerta, este policía conoce toda la historia del viaje de la nota. Utilizan una tecnología especial llamada eBPF (que permite que los programas se ejecuten de forma segura dentro del motor central de la computadora) para rastrear la ruta sin necesidad de cambiar los uniformes de los trabajadores. También utilizan un truco matemático ingenioso llamado DFA (un tipo de diagrama de flujo) para recordar las reglas de manera tan eficiente que casi no ocupa espacio. El resultado es un sistema que detiene estos ataques escurridizos en tiempo real, funciona increíblemente rápido y se integra en sistemas de nube masivos sin sudar ni un poco.

La reacción en cadena escurridiza

Supongamos que tienes una aplicación para compartir fotos. Tiene una puerta principal (nginx), un editor de fotos (media), una sala de almacenamiento (cloud) y una bóveda para contraseñas (creds). En un día normal, un usuario pide una foto a la puerta principal. La puerta principal le pide al editor, el editor le pide a la sala de almacenamiento y, pop, obtienes tu foto. Este es un camino seguro.

Ahora, imagina que un hacker encuentra una pequeña grieta en la puerta principal. Engañan a la puerta principal para que le pิดa la clave a la bóveda de contraseñas, fingiendo que es una solicitud normal. Un guardia de seguridad tradicional miraría a la puerta principal y a la bóveda de contraseñas y diría: "Oye, la puerta principal tiene permiso para hablar con la bóveda a veces, así que adelante". El guardia pierde de vista el hecho de que la puerta principal debería estar hablando con el editor de fotos, no con la bóveda. El hacker ha logrado "doblar" el flujo de trabajo.

Este es el problema de los "múltiples saltos". El ataque no es una gran explosión; es una serie de pasos pequeños y de apariencia legal que se suman para crear un desastre. El artículo explica que los sistemas de seguridad antiguos son como guardias que solo miran a la persona que tienen delante. No les importa si esa persona fue empujada por un extraño cinco pasos atrás.

Entra eMicro: El guardián de historias

Los autores de este artículo construyeron eMicro para solucionar esto. Piensa en eMicro como un sistema que le da a cada solicitud una "etiqueta de historia". Cuando comienza una solicitud, recibe una etiqueta diminuta. A medida que se mueve de la puerta principal al editor, la etiqueta se actualiza para decir: "Vengo de la puerta principal". Cuando se mueve a la sala de almacenamiento, la etiqueta dice: "Vengo de la puerta principal, luego del editor".

Si un hacker intenta engañar a la puerta principal para que vaya directamente a la bóveda de contraseñas, la etiqueta sería incorrecta. Diría: "Soy la puerta principal", pero la bóveda espera una etiqueta que diga: "Soy la puerta principal después de hablar con el editor". El sistema detecta la discrepancia y detiene la solicitud instantáneamente.

Pero aquí está la magia: llevar una etiqueta de historia completa para cada solicitud sería pesado y lento. Imagina que cada vez que envías un texto, tienes que adjuntar una biografía de 50 páginas de todas las personas con las que hablaste antes. Eso congestionaría la red.

El diagrama de flujo mágico (DFA)

Para resolver el problema de la "mochila pesada", los investigadores utilizaron un truco matemático ingenioso llamado Autómata Finito Determinista (DFA). En lugar de escribir toda la historia, el sistema convierte las reglas en un diagrama de flujo gigante y eficiente.

Imagina un diagrama de flujo donde cada paso que das te mueve a un nuevo círculo.

Círculo 0: Inicio.
Círculo 1: Hablaste con la Puerta Principal.
Círculo 2: Hablaste con la Puerta Principal, luego con el Editor.
Círculo 3: Hablaste con la Puerta Principal, el Editor, luego el Almacenamiento.

El sistema no carga las palabras "Puerta Principal, Editor, Almacenamiento". Solo carga el número del círculo en el que se encuentra (por ejemplo, "Círculo 3"). Si intentas saltar del Círculo 1 directamente a la Bóveda de Contraseñas, el diagrama de flujo dice: "¡Espera, no hay una línea del Círculo 1 a la Bóveda!" y te bloquea.

Esto es increíblemente eficiente. El artículo muestra que mientras que una forma "estándar" de escribir la historia podría necesitar cientos de bits (como una larga cadena de 1s y 0s), este método de diagrama de flujo lo reduce a solo unos pocos bits. En sus pruebas, almacenaron 50 millones de reglas de seguridad diferentes en solo 100 MB de espacio. Eso es como meter una biblioteca de millones de libros en un solo teléfono inteligente.

El policía de tráfico invisible (eBPF)

¿Cómo actualiza eMicro estas etiquetas tan rápido sin pedirle a cada programa de computadora que cambie su código? La respuesta es eBPF.

Piensa en eBPF como una herramienta especial que te permite ejecutar programas diminutos y seguros dentro del motor de la computadora (el kernel). Normalmente, para rastrear lo que sucede, tendrías que pedir a cada aplicación que instale un rastreador, lo cual es una pesadilla para los desarrolladores. eMicro no hace eso. En su lugar, conecta sus pequeños programas a las tuberías de red y a los procesos internos de la computadora.

Cuando un paquete de solicitud sale de un servicio, el programa eBPF lo atrapa, actualiza el "número de círculo" (la etiqueta) y lo deja pasar. Ocurre tan rápido que la solicitud ni siquiera lo nota. El artículo midió esto y encontró que eMicro añade menos de 1 microsegundo (eso es una millonésima de segundo) al tiempo que toma verificar una solicitud. Es más rápido de lo que el ojo humano puede parpadear.

Lo que encontraron

El equipo probó eMicro de varias maneras diferentes para asegurarse de que realmente funciona:

Detener los ataques: Simularon tres tipos de ataques escurridizos, incluyendo hackers que engañan a los servicios para que hablen con lugares equivocados y el uso de software malicioso para escanear la red. eMicro bloqueó el 100% de estos ataques. En contraste, los métodos antiguos de "revisar la puerta de al lado" solo detectaron una fracción mínima de ellos. Por ejemplo, en una cadena de 6 pasos, los métodos antiguos solo detectaron el 0.3% de los caminos maliciosos, mientras que eMicro lo detectó todo.
Velocidad: Ejecutaron 12 millones de solicitudes a través de su sistema. eMicro mantuvo el tráfico fluyendo suavemente, añadiendo casi ningún retraso. Fue un 35% más rápido que los sistemas centralizados anteriores que intentaban hacer lo mismo pero tenían que pedir permiso a un jefe central cada vez.
Espacio: Como se mencionó, almacenaron 50 millones de políticas en 100 MB de memoria. Esta es una mejora masiva sobre los métodos anteriores que habrían necesitado gigabytes de espacio.
Fiabilidad: Incluso probaron qué sucede si una computadora en la red falla. eMicro utiliza un sistema llamado Raft para asegurar que todas las computadoras estén de acuerdo con las reglas. Si una falla, las otras asumen la tarea y el sistema se recupera en menos de 4 segundos.

Por qué es importante

El artículo concluye que eMicro es una solución práctica y del mundo real. No requiere reescribir todo el software del mundo y no ralentiza las cosas. Demuestra que puedes tener un guardia de seguridad que conozca toda la historia de cada solicitud, no solo a la persona que tiene delante.

Los autores son cuidadosos al decir que, aunque su sistema es excelente para los microservos, no es una varita mágica para todos los problemas de seguridad. Asumen que el motor central de la computadora (el kernel) es seguro. Si un hacker toma el control total del cerebro de la computadora, podría apagar al guardia. Pero para la gran mayoría de los ataques en la nube donde los hackers intentan colarse por las grietas entre servicios, eMicro tapa los agujeros.

En resumen, eMicro toma la compleja e invisible red de las aplicaciones modernas y le otorga un conjunto de reglas claras, rápidas e inquebrantables. Convierte una ciudad caótica de trabajadores en un equipo bien organizado donde cada uno sabe exactamente con quién debe hablar, y nadie puede colarse por la puerta trasera.

Resumen Técnico: eMicro

Planteamiento del Problema

Las aplicaciones modernas en la nube están compuestas cada vez más por miles de microservicios débilmente acoplados. Aunque los mecanismos tradicionales de control de acceso entre servicios regulan eficazmente las solicitudes de servicio a servicio (saltos adyacentes), no logran prevenir los ataques de múltiples saltos (multi-hop attacks). En estos ataques, los adversarios explotan las dependencias legítimas entre servicios para construir cadenas de solicitudes que son sintácticamente válidas en cada salto, pero que violan semánticamente la intención de seguridad del sistema.

Las defensas existentes se dividen en dos categorías, ambas con limitaciones:

Cumplimiento de salto adyacente: Herramientas como las políticas de red (por ejemplo, Cilium, Calico) y las mallas de servicios (service meshes) regulan la comunicación entre pares de servicios, pero ignoran el historial causal de una solicitud, lo que las hace ciegas ante ataques de sufijo de ruta (donde un servicio comprometido inicia un salto con apariencia válida que evade los servicios ascendentes requeridos) y ataques de alteración de flujo de trabajo (workflow-bending).
Cumplimiento centralizado de múltiples saltos: Investigaciones previas intentan reconstruir los historiales de solicitudes mediante controladores centralizados. Sin embargo, estos enfoques sufren de cuellos de botella de escalabilidad, alta latencia (viajes de ida y vuelta por la red por cada salto), puntos únicos de falla y, a menudo, requieren una instrumentación intrusiva de la aplicación o dependencias específicas de frameworks.

El desafío central es diseñar un sistema que aplique políticas sobre secuencias completas de solicitudes en tiempo real, que escale a miles de servicios, opere con una sobrecarga baja y sea agnóstico a los diversos lenguajes y frameworks utilizados en los ecosistemas de microservicios.

Metodología

eMicro es un sistema de defensa descentralizado y consciente de las rutas (path-aware) que aplica el control de acceso de múltiples saltos sin modificar el código de la aplicación. Aborda el problema a través de tres pilares técnicos clave:

1. Lenguaje de Políticas de Múltiples Saltos Expresivo

eMicro introduce un lenguaje de políticas que modela los flujos de trabajo de solicitudes benignas utilizando predicados sobre rutas de solicitud completas en lugar de solo saltos adyacentes.

Predicados: Soporta predicados atómicos (match, startswith, endswith, contains) y composición lógica (and, or, not).
Semántica: Las políticas definen flujos de trabajo de solicitudes válidos (por ejemplo, public $\to$ nginx $\to$ media $\to$ cloud). Las acciones incluyen allow, drop y acciones auxiliares como reset_label o set_label.
Objetivo: Esto permite a los administradores restringir de forma concisa las rutas de las solicitudes (por ejemplo, prohibir que un servicio acceda a una base de datos a menos que haya sido iniciado por un servicio ascendente específico) sin enumerar cada secuencia válida posible, evitando así la explosión de políticas.

2. Representación Compacta Basada en DFA

Para evitar los problemas de escalabilidad de propagar historiales de solicitudes completos, eMicro compila las políticas de múltiples saltos en un único Autómata Finito Determinista (DFA).

Codificación de Estados: Cada secuencia de solicitud válida corresponde a un estado de DFA único. En lugar de transportar una lista de todos los servicios anteriores (codificación estándar), las solicitudes propagan únicamente la etiqueta del estado actual del DFA.
Compilación: Las políticas se analizan en un Árbol de Sintaxis Abstracta (AST), se convierten en DFAs individuales y se fusionan utilizando operaciones de unión e intersección bajo una semántica de "denegación por defecto".
Optimización: Un algoritmo de procesamiento paralelo masivo fusiona miles de DFAs de políticas de manera eficiente, seguido de una minimización de DFA (usando el algoritmo de Hopcroft) para reducir el número de estados. Esto resulta en una representación compacta donde el tamaño de la etiqueta es logarítmico respecto al número de estados, significativamente más pequeño que la codificación estándar.

3. Cumplimiento Agnóstico a la Aplicación mediante eBPF

eMicro aprovecha eBPF (Filtro de Paquete de Berkeley extendido) para aplicar las políticas de forma transparente dentro del kernel de Linux, eliminando la necesidad de instrumentación de la aplicación.

Propagación de Etiquetas: eMicro adjunta programas eBPF a cinco ganchos (hooks) del kernel:
- TC Ingress/Egress: Para adjuntar y actualizar etiquetas en los paquetes de red a medida que entran/salen de las interfaces de red virtuales.
- Manejadores de Sockets (Socket Handlers): Para propagar etiquetas desde los sockets hacia las unidades de ejecución (procesos/hilos) cuando consumen datos.
- Generación de Unidades de Ejecución (Execution Unit Spawning): Para heredar etiquetas cuando se crean nuevos procesos/hilos/corrutinas.
- Creación de Sockets: Para propagar etiquetas cuando se inicia una nueva solicitud.
Cumplimiento Descentralizado: Cada nodo de servicio mantiene una copia local del DFA (almacenada en mapas BPF); las decisiones de control de acceso se toman localmente mediante búsquedas en mapas BPF de tiempo constante, eliminando los viajes de ida y vuelta a un controlador central.
Consistencia: Las actualizaciones de políticas se distribuyen entre los nodos utilizando el protocolo de consenso Raft para garantizar la consistencia sin comprometer la naturaleza descentralizada del cumplimiento.

Principales Contribuciones

El artículo afirma tres contribuciones primarias:

Lenguaje de Políticas Expresivo: Un lenguaje que razona sobre rutas completas de solicitudes para prevenir ataques de múltiples saltos, manteniéndose práctico para que los administradores los automaticen y mantengan.
Compilación de DFA Escalable: Un método para compilar políticas complejas de múltiples saltos en un DFA compacto, permitiendo verificaciones de política en tiempo constante y reduciendo el espacio requerido para propagar el contexto de la solicitud en un ~90% en comparación con la codificación estándar.
Cumplimiento Transparente: Un mecanismo de cumplimiento totalmente distribuido y agnóstico a la aplicación utilizando eBPF que opera a velocidad de línea con una sobrecarga insignificante, sin requerir cambios en el código de la aplicación o en las librerías de comunicación.

Resultados de la Evaluación

Los autores evaluaron eMicro utilizando el banco de pruebas DeathStarBench (27 servicios, 10 réplicas cada uno) y trazas de producción de Uber, Alibaba y ByteDance (que cubren 12 millones de solicitudes y hasta 45,000 servicios).

Efectividad: eMicro bloqueó con éxito todos los ataques de múltiples saltos probados (sufijo de ruta, alteración de flujo de trabajo y enumeración maliciosa de contenedores) permitiendo al mismo tiempo el 100% del tráfico benigno. Logró una cobertura del 100% de los flujos de trabajo válidos, mientras que el control de acceso de salto adyacente redujo la cobertura al 0.3% para flujos de 6 saltos.
Sobrecarga de Rendimiento:
- Latencia: eMicro introdujo menos de 10 µs de sobrecarga por solicitud. La función de distribución acumulativa (CDF) de los tiempos de finalización de las solicitudes no mostró un desplazamiento significativo en comparación con la línea base.
- Capacidad de Procesamiento (Throughput): Las tasas de envío TCP de servicio a servicio se redujeron en menos del 1%, lo cual no fue estadísticamente significativo.
- Comparación: eMicro fue un 35% más rápido en el tiempo de finalización que el sistema centralizado CloudCover y realizó las verificaciones de política 10 veces más rápido que las defensas basadas en flujo de información (Kalium, Trapeze).
Escalabilidad y Almacenamiento:
- Eficiencia de Etiquetas: La codificación DFA redujo el espacio necesario para propagar las secuencias de solicitudes en un 90% en promedio. Por ejemplo, almacenar 50 millones de políticas requirió solo 100 MB de memoria.
- Velocidad de Búsqueda: Las verificaciones de política se realizaron en tiempo constante, promediando 1 µs, incluso con 16 millones de estados y 50 millones de políticas.
- Recuperación: Las actualizaciones de políticas alcanzaron el quórum en menos de 4 segundos, y los nodos fallidos recuperaron las actualizaciones faltantes en un periodo adicional de 4 segundos.

Significancia y Reivindicaciones

El artículo posiciona a eMicro como el primer sistema que proporciona simultáneamente cumplimiento de múltiples saltos, preservación del orden de los saltos y escalabilidad descentralizada sin requerir instrumentación de la aplicación.

Practicidad: Al operar en el kernel vía eBPF, eMicro supera el "impuesto de instrumentación" que ha obstaculizado otros enfoques basados en el historial, haciéndolo desplegable en entornos heterogéneos (soporta más de 6 lenguajes y varios protocolos como HTTP, gRPC y Thrift).
Postura de Seguridad: El sistema cambia el paradigma de seguridad de verificar saltos individuales a validar todo el historial causal de una solicitud, cerrando efectivamente la brecha donde actualmente prosperan los ataques de múltiples saltos.
Alcance Modesto: Los autores reconocen que, si bien el sistema maneja bucles acotados y flujos de trabajo estándar, la recursión no acotada requeriría formalismos más expresivos (por ejemplo, autómatas de pila). Además, los flujos de trabajo asíncronos mediados por brokers podrían requerir una instrumentación ligera a nivel de broker para preservar la causalidad, una limitación compartida por todos los sistemas basados en historial.

En resumen, eMicro demuestra que el control de acceso de múltiples saltos, escalable y en tiempo real es alcanzable en entornos de microservicios a gran escala mediante la combinación de la teoría de autómatas eficiente y las tecnologías modernas del kernel.