Ghostunnel to narzędzie typu open-source, które rozwiązuje problem braku wsparcia dla TLS w starszych lub prostszych aplikacjach. Działa w dwóch trybach: jako serwer, który przyjmuje połączenia TLS i weryfikuje certyfikaty klientów, oraz jako klient, który opakowuje lokalny ruch tekstowy w bezpieczny tunel TLS.
Narzędzie umożliwia wdrożenie wzajemnego uwierzytelniania (mTLS) bez konieczności modyfikacji kodu źródłowego samej aplikacji. W trybie serwera proxy pozwala na rygorystyczną weryfikację klientów na podstawie wielu kryteriów, takich jak Common Name, jednostka organizacyjna czy identyfikatory SPIFFE. Możliwe jest również stosowanie zaawansowanych polityk Open Policy Agent.
Ghostunnel oferuje szerokie wsparcie dla źródeł certyfikatów, w tym macOS Keychain, Windows Certificate Store, moduły sprzętowe PKCS11 (np. YubiKey) oraz protokół ACME od Let's Encrypt. Dzięki mechanizmom automatycznego przeładowywania certyfikatów, narzędzie idealnie nadaje się do pracy z krótkotrwałymi poświadczeniami.
Z punktu widzenia bezpieczeństwa, Ghostunnel domyślnie ogranicza nasłuchiwanie tylko do localhost lub gniazd UNIX, co minimalizuje ryzyko nieautoryzowanego dostępu. Na systemach Linux narzędzie wykorzystuje mechanizm Landlock do izolacji procesu (sandboxing). Jest to pojedynczy plik binarny napisany w języku Go, dostępny na wiele platform.
