Stunnel представляет собой криптографический SSL/TLS-прокси-механизм, который принимает незащищенное TCP-соединение «на вход», устанавливает защищенное SSL/TLS-соединение с удаленным сервером и передает по нему, полученные «на вход», данные. Адрес и порт удаленного сервера прописываются в конфигурационном файле stunnel.
В рамках протокола SSL/TLS возможно выполнение клиентской аутентификации по цифровому сертификату. Закрытый ключ, соответствующий сертификату, может храниться на USB-токене или смарт-карте. Для использования продуктов Рутокен в приложении stunnel предназначена библиотека pkcs#11: например, opensc-pkcs11 из проекта OpenSC или engine_pkcs11.