Apache Camel によるポスト量子 TLS

このリポジトリには、X25519MLKEM768 ハイブリッド鍵交換を使用し、Apache Camel で ポスト量子暗号 (PQC) TLS 1.3 ハンドシェイク を実演する3つの例が含まれています。

X25519MLKEM768 は、古典的なX25519楕円曲線ディフィー・ヘルマンと、ポスト量子の格子ベース鍵カプセル化メカニズムである ML-KEM-768 (NIST FIPS 203) を組み合わせたものです。両アルゴリズムが連携して動作するため、片方が破られてもセキュリティは維持されます。

例

3つの例はすべて camel.ssl.* プロパティだけで構成され、X25519MLKEM768 を使用した自己完結型の TLS 1.3 ハンドシェイクをポスト量子鍵交換として実行します。起動時に検証され、REST エンドポイント経由でオンデマンドに利用できます。

相違点

JDK 27 ネイティブ (pqc-ssl-context)

JDK 27 の JEP 527 を通じて PQC TLS サポートを獲得した、JDK 組み込みの SunJSSE プロバイダーを使用します。

• PQC は camel.ssl.namedGroups=X25519MLKEM768,x25519 で構成
• 自己署名証明書を自動生成 (camel.ssl.selfSigned=true)
• REST エンドポイントはポート 8443 で HTTPS 経由で提供
• 名前付きグループは SSLParameters.setNamedGroups() (標準の JDK API) で設定

JDK 24 + BouncyCastle (pqc-kem-jdk24)

BouncyCastle の JSSE プロバイダー (BCJSSE) を使用して、JDK 24 に PQC TLS サポートをもたらします。JDK 24 にはスタンドアロンの暗号プリミティブとしてネイティブの ML-KEM (JEP 496) が含まれていますが、TLS スタックでは PQC 名前付きグループを公開していません。BCJSSE がそのギャップを埋めます。

• PQC は camel.ssl.provider=BCJSSE と camel.ssl.namedGroups=X25519MLKEM768,secp256r1 で構成
• 自己署名証明書を自動生成 (camel.ssl.selfSigned=true)
• REST エンドポイントはポート 8443 で HTTPS 経由で提供
• 追加の /api/verify-kem エンドポイントは、クロスプロバイダー相互運用テストで JDK 24 のネイティブな javax.crypto.KEM API を実演
• BouncyCastle プロバイダーを登録するためのブートストラップクラスが必要

JDK 21 + BouncyCastle (pqc-ssl-context-jdk21)

JDK 27 を待たずに、BouncyCastle の JSSE プロバイダー (BCJSSE) を使用して JDK 21 に PQC TLS サポートをもたらします。

• PQC は camel.ssl.provider=BCJSSE と camel.ssl.namedGroups=X25519MLKEM768,secp256r1 で構成
• 自己署名証明書を自動生成 (camel.ssl.selfSigned=true)
• REST エンドポイントはポート 8443 で HTTPS 経由で提供
• BouncyCastle プロバイダーを登録し、jdk.tls.disabledAlgorithms から ECDH を削除するためのブートストラップクラスが必要

横並び比較

前提条件

• Maven 3.9+
• Apache Camel 4.19.0-SNAPSHOT (以降) がローカルの Maven リポジトリにインストールされていること
• ネイティブの例には JDK 27 EA、JDK 24 の例には JDK 24、JDK 21 の例には JDK 21+

クイックスタート

JDK 27 の例

cd pqc-ssl-context
sdk use java 27.ea.11-open
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

JDK 24 の例

cd pqc-kem-jdk24
sdk use java 24.0.1-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc
curl -k https://localhost:8443/api/verify-kem

JDK 21 の例

cd pqc-ssl-context-jdk21
sdk use java 21.0.10-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

3つとも、PQC TLS ハンドシェイクが成功すると "pqcVerified": true を返します。

JDK 互換性

ヘルプと貢献

Camel の使用中に問題が発生した場合やフィードバックがある場合は、お知らせください。

コントリビューターも大歓迎です。ぜひ参加してください :-)

Camel ライダーズ！