Post-Quanten-TLS mit Apache Camel

Dieses Repository enthält drei Beispiele, die Post-Quanten-Kryptografie (PQC) TLS 1.3-Handshakes mit Apache Camel unter Verwendung des X25519MLKEM768-Hybridschlüsselaustauschs demonstrieren.

X25519MLKEM768 kombiniert klassisches X25519-Elliptische-Kurven-Diffie-Hellman mit ML-KEM-768, einem Post-Quanten-gitterbasierten Schlüsselverkapselungsmechanismus (NIST FIPS 203). Beide Algorithmen laufen zusammen, sodass die Sicherheit auch dann gewahrt bleibt, wenn einer von ihnen gebrochen wird.

Beispiele

Alle drei Beispiele werden vollständig über camel.ssl.*-Eigenschaften konfiguriert und führen einen eigenständigen TLS 1.3-Handshake unter Verwendung von X25519MLKEM768 für den Post-Quanten-Schlüsselaustausch durch, der beim Start verifiziert und bei Bedarf über REST-Endpunkte verfügbar ist.

Wie sie sich unterscheiden

JDK 27 nativ (pqc-ssl-context)

Verwendet den in das JDK integrierten SunJSSE-Anbieter, der in JDK 27 durch JEP 527 PQC-TLS-Unterstützung erhält.

• PQC konfiguriert über camel.ssl.namedGroups=X25519MLKEM768,x25519
• Selbstsigniertes Zertifikat wird automatisch erzeugt (camel.ssl.selfSigned=true)
• REST-Endpunkte werden über HTTPS auf Port 8443 bereitgestellt
• Named Groups werden über SSLParameters.setNamedGroups() gesetzt (Standard-JDK-API)

JDK 24 mit BouncyCastle (pqc-kem-jdk24)

Verwendet den JSSE-Anbieter von BouncyCastle (BCJSSE), um PQC-TLS-Unterstützung in JDK 24 zu bringen. Während JDK 24 natives ML-KEM als eigenständiges Krypto-Primitiv enthält (JEP 496), stellt es keine PQC-Named-Groups in seinem TLS-Stack bereit. BCJSSE schließt diese Lücke.

• PQC konfiguriert über camel.ssl.provider=BCJSSE und camel.ssl.namedGroups=X25519MLKEM768,secp256r1
• Selbstsigniertes Zertifikat wird automatisch erzeugt (camel.ssl.selfSigned=true)
• REST-Endpunkte werden über HTTPS auf Port 8443 bereitgestellt
• Ein zusätzlicher /api/verify-kem-Endpunkt demonstriert die native javax.crypto.KEM-API von JDK 24 mit providerübergreifenden Interop-Tests
• Erfordert eine Bootstrap-Klasse, um die BouncyCastle-Anbieter zu registrieren

JDK 21 mit BouncyCastle (pqc-ssl-context-jdk21)

Verwendet den JSSE-Anbieter von BouncyCastle (BCJSSE), um PQC-TLS-Unterstützung in JDK 21 zu bringen, ohne auf JDK 27 warten zu müssen.

• PQC konfiguriert über camel.ssl.provider=BCJSSE und camel.ssl.namedGroups=X25519MLKEM768,secp256r1
• Selbstsigniertes Zertifikat wird automatisch erzeugt (camel.ssl.selfSigned=true)
• REST-Endpunkte werden über HTTPS auf Port 8443 bereitgestellt
• Erfordert eine Bootstrap-Klasse, um die BouncyCastle-Anbieter zu registrieren und ECDH aus jdk.tls.disabledAlgorithms zu entfernen

Gegenüberstellung

Voraussetzungen

• Maven 3.9+
• Apache Camel 4.19.0-SNAPSHOT (oder neuer) im lokalen Maven-Repository installiert
• JDK 27 EA für das native Beispiel, JDK 24 für das JDK-24-Beispiel oder JDK 21+ für das JDK-21-Beispiel

Schnellstart

JDK-27-Beispiel

cd pqc-ssl-context
sdk use java 27.ea.11-open
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

JDK-24-Beispiel

cd pqc-kem-jdk24
sdk use java 24.0.1-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc
curl -k https://localhost:8443/api/verify-kem

JDK-21-Beispiel

cd pqc-ssl-context-jdk21
sdk use java 21.0.10-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

Alle drei geben "pqcVerified": true zurück, wenn der PQC-TLS-Handshake erfolgreich ist.

JDK-Kompatibilität

Hilfe und Beiträge

Wenn du auf ein Problem mit Camel stößt oder Feedback hast, dann bitte lass es uns wissen.

Wir lieben auch Mitwirkende, also mach mit :-)

Die Camel-Reiter!