TLS Pós-Quântico com Apache Camel

Este repositório contém três exemplos que demonstram handshakes TLS 1.3 de Criptografia Pós-Quântica (PQC) com Apache Camel, usando a troca de chaves híbrida X25519MLKEM768.

O X25519MLKEM768 combina o clássico Diffie-Hellman de curva elíptica X25519 com o ML-KEM-768, um mecanismo de encapsulamento de chaves pós-quântico baseado em reticulados (NIST FIPS 203). Ambos os algoritmos são executados em conjunto, de modo que a segurança é mantida mesmo que um deles seja quebrado.

Exemplos

Os três exemplos são configurados inteiramente por meio de propriedades camel.ssl.* e realizam um handshake TLS 1.3 autocontido usando X25519MLKEM768 para troca de chaves pós-quântica, verificado na inicialização e disponível sob demanda por meio de endpoints REST.

Como Eles Diferem

JDK 27 Nativo (pqc-ssl-context)

Usa o provedor SunJSSE integrado do JDK, que ganha suporte a TLS PQC por meio do JEP 527 no JDK 27.

• PQC configurado via camel.ssl.namedGroups=X25519MLKEM768,x25519
• Certificado autoassinado gerado automaticamente (camel.ssl.selfSigned=true)
• Endpoints REST servidos via HTTPS na porta 8443
• Grupos nomeados definidos por meio de SSLParameters.setNamedGroups() (API padrão do JDK)

JDK 24 com BouncyCastle (pqc-kem-jdk24)

Usa o provedor JSSE do BouncyCastle (BCJSSE) para levar suporte a TLS PQC ao JDK 24. Embora o JDK 24 inclua ML-KEM nativo como uma primitiva criptográfica independente (JEP 496), ele não expõe grupos nomeados de PQC em sua pilha TLS. O BCJSSE preenche essa lacuna.

• PQC configurado via camel.ssl.provider=BCJSSE e camel.ssl.namedGroups=X25519MLKEM768,secp256r1
• Certificado autoassinado gerado automaticamente (camel.ssl.selfSigned=true)
• Endpoints REST servidos via HTTPS na porta 8443
• O endpoint adicional /api/verify-kem demonstra a API nativa javax.crypto.KEM do JDK 24 com testes de interoperabilidade entre provedores
• Requer uma classe de bootstrap para registrar os provedores do BouncyCastle

JDK 21 com BouncyCastle (pqc-ssl-context-jdk21)

Usa o provedor JSSE do BouncyCastle (BCJSSE) para levar suporte a TLS PQC ao JDK 21, sem esperar pelo JDK 27.

• PQC configurado via camel.ssl.provider=BCJSSE e camel.ssl.namedGroups=X25519MLKEM768,secp256r1
• Certificado autoassinado gerado automaticamente (camel.ssl.selfSigned=true)
• Endpoints REST servidos via HTTPS na porta 8443
• Requer uma classe de bootstrap para registrar os provedores do BouncyCastle e remover ECDH de jdk.tls.disabledAlgorithms

Comparação Lado a Lado

Pré-requisitos

• Maven 3.9+
• Apache Camel 4.19.0-SNAPSHOT (ou posterior) instalado no repositório Maven local
• JDK 27 EA para o exemplo nativo, JDK 24 para o exemplo com JDK 24 ou JDK 21+ para o exemplo com JDK 21

Início Rápido

Exemplo com JDK 27

cd pqc-ssl-context
sdk use java 27.ea.11-open
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

Exemplo com JDK 24

cd pqc-kem-jdk24
sdk use java 24.0.1-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc
curl -k https://localhost:8443/api/verify-kem

Exemplo com JDK 21

cd pqc-ssl-context-jdk21
sdk use java 21.0.10-tem
mvn clean compile exec:exec
curl -k https://localhost:8443/api/verify-pqc

Os três retornarão "pqcVerified": true quando o handshake TLS de PQC for bem-sucedido.

Compatibilidade com JDK

Ajuda e Contribuições

Se você encontrar qualquer problema ao usar o Camel ou tiver algum feedback, por favor avise-nos.

Também adoramos contribuidores, então envolva-se :-)

Os cavaleiros do Camel!