eBPF چگونه بدون دستکاری کد منبع، قوانین هسته لینوکس را بازنویسی می‌کند؟

در ۲۸ آوریل ۲۰۲۶، مهندسان گیت‌هاب (GitHub) پچی را در سیستم‌های داخلی خود مستقر کردند که نحوه نظارت آن‌ها بر وابستگی‌های چرخه‌ای را به طور اساسی تغییر داد. آن‌ها نه کد برنامه خود را بازنویسی کردند و نه ماژول هسته سنگین و سفارشی‌سازی شده‌ای را بارگذاری کردند که نیاز به راه‌اندازی مجدد سیستم داشته باشد.

در عوض، آن‌ها یک برنامه سندباکس‌شده را مستقیماً در هسته لینوکس در حین کار تزریق کردند. این کار با استفاده از eBPF محقق شد؛ فناوری‌ای که بی‌سروصدا به حیاتی‌ترین لایه زیرساختی در محاسبات ابری مدرن تبدیل شده است.[3]

آنچه eBPF در عمل انجام می‌دهد، این است که به توسعه‌دهندگان اجازه می‌دهد بایت‌کد سفارشی را درون هسته سیستم‌عامل — پرامتیازترین و خطرناک‌ترین لایه یک ماشین — بدون دستکاری کد منبع هسته اجرا کنند. مستندات رسمی eBPF اشاره می‌کند که «eBPF یک فناوری انقلابی است که ریشه در هسته لینوکس دارد و می‌تواند برنامه‌های سندباکس‌شده را در یک محیط دارای امتیاز اجرا کند.»

در گذشته، تغییر رفتار هسته مستلزم نوشتن یک ماژول هسته بود، فرآیندی که خطر سقوط کل سیستم را به همراه داشت. eBPF با معرفی یک ماشین مجازی درون هسته‌ای که دستورالعمل‌ها را به صورت ایمن اجرا می‌کند، این مشکل را دور می‌زند.[1][2]

بازاریابی پیرامون eBPF اغلب آن را «جاوا اسکریپت برای هسته» می‌نامد، که تلویحاً به یک آزادی عمل کامل در برنامه‌نویسی اشاره دارد. اما واقعیت بسیار سخت‌گیرانه‌تر است. قبل از اینکه به هر برنامه eBPF اجازه اجرا داده شود، باید از یک تأییدکننده (Verifier) داخلی دقیق عبور کند. این تأییدکننده تحلیل استاتیک انجام می‌دهد تا مطمئن شود کد فاقد حلقه‌های بی‌نهایت، دسترسی‌های خارج از محدوده حافظه و خواندن داده‌های مقداردهی نشده است. اگر ایمنی کد به صورت ریاضی اثبات نشود، هسته به سادگی از بارگذاری آن خودداری می‌کند.[1]

پس از تأیید، بایت‌کد به صورت کامپایل در لحظه (JIT) به کد ماشین بومی تبدیل می‌شود. این امر به برنامه سندباکس‌شده اجازه می‌دهد تا با سرعتی نزدیک به سرعت بومی اجرا شود. در محیط‌های عملیاتی، این خط لوله اجرایی سربار (Overhead) بسیار کمی اضافه می‌کند. به عنوان مثال، اجرای قوانین امنیتی متوسط از طریق ابزار Falco مبتنی بر eBPF، تنها ۱ تا ۳ درصد از CPU یک گره کاری را تحت بار عادی مصرف می‌کند، که کسری از منابع مورد نیاز عوامل نظارتی سنتی است.[1]

چشمگیرترین تحولی که eBPF ایجاد کرده، در حوزه شبکه‌سازی است. شبکه‌سازی سنتی لینوکس متکی بر iptables است، یعنی فهرستی متوالی از قوانینی که هر بسته باید از آن‌ها عبور کند. در خوشه‌های عظیم کوبرنتیس (Kubernetes)، این می‌تواند به معنای ارزیابی ده‌ها هزار قانون برای هر بسته باشد که یک گلوگاه جدی ایجاد می‌کند. eBPF اجازه می‌دهد بسته‌های شبکه مستقیماً در لبه هسته پردازش شوند، پشته iptables را به طور کامل دور بزنند و توان عملیاتی (Throughput) به مراتب بالاتری ارائه دهند.[4]

فراتر از شبکه‌سازی، eBPF قابلیت مشاهده‌پذیری سیستم را متحول کرده است. نظارت سنتی از توسعه‌دهندگان می‌خواهد که SDKها را در برنامه‌های خود جاسازی کنند یا پراکسی‌های سنگین سایدکار (Sidecar) را مستقر سازند. eBPF این مدل را واژگون می‌کند. مهندسان با اتصال به نقاط ردیابی هسته (Kernel Tracepoints) یا فراخوانی‌های سیستمی (System Calls)، می‌توانند پرس‌وجوهای پایگاه داده، تأخیر شبکه و دسترسی به فایل را در هر برنامه‌ای روی سرور، بدون تغییر حتی یک خط کد در فضای کاربری، نظارت کنند.

این قابلیت مشاهده عمیق، امنیت ابری را نیز در حال تغییر شکل است. ابزارهای تشخیص و پاسخ نقطه پایانی (EDR) در محیط‌های کانتینری با مشکل مواجه بوده‌اند. SecurityToday گزارش می‌دهد: «مهاجمان در سال ۲۰۲۵ مدت زمان بیشتری در خوشه‌های کوبرنتیس آلمان حضور داشتند تا آنچه مدیران ارشد امنیت اطلاعات (CISO) منطقه DACH مایل به پذیرش آن هستند»، و به میانگین زمان ماندگاری مهاجم تا ۱۹۶ ساعت اشاره می‌کند.

از آنجایی که eBPF زیر لایه انتزاعی کانتینر عمل می‌کند، می‌تواند اجرای بدافزارهای بدون فایل (Fileless Malware) — مانند نوشتن کد توسط مهاجم در یک توصیف‌گر فایل حافظه ناشناس و اجرای آن — را فوراً در سطح هسته تشخیص دهد.

با وجود همه شور و اشتیاق، eBPF بدون نقاط اصطکاک نیست. این فناوری به شدت به رابط هسته لینوکس وابسته است، که بین نسخه‌های مختلف تغییر می‌کند. در حالی که لینوکس ۴.۴ قابلیت kprobes اولیه را معرفی کرد، برنامه‌ای که برای لینوکس ۵.۸ کامپایل شده باشد، ممکن است در لینوکس ۶.۱ از کار بیفتد.

برای کاهش این مشکل، جامعه توسعه‌دهندگان مفهوم «یک بار کامپایل کن، همه جا اجرا کن» (CO-RE) را توسعه داد که از فرمت نوع BPF (معرفی شده در لینوکس ۵.۲) برای انطباق پویا با تغییرات ساختار حافظه استفاده می‌کند. با این حال، تکیه بر CO-RE نیازمند انضباط سخت‌گیرانه در خطوط لوله استقرار است.[4]

در سال ۲۰۲۶، eBPF از یک ویژگی آزمایشی هسته به یک استاندارد صنعتی تبدیل شده است. ارائه‌دهندگان اصلی خدمات ابری، شبکه‌سازی مبتنی بر eBPF را به عنوان پیش‌فرض خود پذیرفته‌اند و بنیاد eBPF همچنان در حال گسترش است و اخیراً متا (Meta) و تویوتا (Toyota) را به هیئت مدیره خود اضافه کرده است. با این حال، حتی با گسترش این فناوری به محیط‌های اجرایی فضای کاربری و تخلیه بار سخت‌افزاری، ارزش اصلی آن همچنان در توانایی‌اش برای برنامه‌ریزی مجدد ایمن سیستم‌عامل در حین کار باقی می‌ماند.

معیار واقعی تأثیر eBPF، نه در تبلیغات پرشور پیرامون قابلیت‌های آن، بلکه در حذف خاموش اصطکاک‌های عملیاتی است. وقتی یک توقف سیستم به جای هفته‌ها، در عرض چند ساعت تشخیص داده می‌شود، یا یک ریسک استقرار قبل از اینکه به یک آبشار خطا تبدیل شود، شناسایی می‌گردد، به این دلیل است که خود هسته آموزش دیده است تا مراقب آن باشد. سیستم‌عامل دیگر یک زیربنای سخت و غیرقابل انعطاف نیست؛ بلکه یک پلتفرم قابل برنامه‌ریزی است.[4]