GA になった Amazon Corretto 27 でポスト量子鍵交換を試してみた

FROM debian:trixie-slim

RUN apt-get update && apt-get install -y --no-install-recommends \
    openssl \
    ca-certificates \
    && rm -rf /var/lib/apt/lists/*

WORKDIR /certs

# 自己署名サーバー証明書を生成（CA は作らず1枚で完結）
RUN openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:P-256 \
    -keyout server.key -out server.crt -days 1 -nodes \
    -subj "/CN=tls-server" \
    -addext "subjectAltName=DNS:tls-server,IP:127.0.0.1"

EXPOSE 4433

# -trace: ハンドシェイク詳細（named group 含む）を stderr へ出力
CMD ["openssl", "s_server", \
     "-key", "/certs/server.key", \
     "-cert", "/certs/server.crt", \
     "-accept", "4433", \
     "-tls1_3", \
     "-trace", \
     "-www"]

FROM debian:bookworm-slim

RUN apt-get update && apt-get install -y --no-install-recommends \
    curl ca-certificates \
    && rm -rf /var/lib/apt/lists/*

# Corretto 27 - アーキテクチャ自動判別
ARG TARGETARCH
RUN case "${TARGETARCH}" in \
      amd64) JDK_URL="https://corretto.aws/downloads/latest/amazon-corretto-27-x64-linux-jdk.tar.gz" ;; \
      arm64) JDK_URL="https://corretto.aws/downloads/latest/amazon-corretto-27-aarch64-linux-jdk.tar.gz" ;; \
      *) echo "Unsupported arch: ${TARGETARCH}" && exit 1 ;; \
    esac \
    && curl -fsSL "${JDK_URL}" | tar -xz -C /opt \
    && ln -s /opt/amazon-corretto-27* /opt/java

ENV JAVA_HOME=/opt/java
ENV PATH="${JAVA_HOME}/bin:${PATH}"

WORKDIR /app

COPY PqTlsCheck.java .
RUN javac PqTlsCheck.java

# -Djavax.net.debug=ssl:handshake でハンドシェイクログ全出力
# サーバー証明書検証は無効（自己署名のため）
CMD ["java", \
     "-Djavax.net.debug=ssl:handshake", \
     "-Dcom.sun.jndi.ldap.object.trustURLCodebase=false", \
     "PqTlsCheck", "tls-server", "4433"]

import javax.net.ssl.*;
import java.io.*;
import java.security.cert.X509Certificate;

/**
 * Corretto 27 の PQ TLS ハンドシェイク確認ツール。
 * 接続先サーバーと TLS 1.3 ネゴシエーションを行い、
 * 選択された cipher suite / named group をログに出力する。
 *
 * 証明書検証を無効にした TrustManager を使用 (自己署名証明書対応)。
 * 本番環境ではこの TrustManager を使わず、JDK 既定の TrustManager（証明書検証あり）とホスト名検証を有効にすること。
 */
public class PqTlsCheck {

    public static void main(String[] args) throws Exception {
        String host = args.length > 0 ? args[0] : "localhost";
        int port    = args.length > 1 ? Integer.parseInt(args[1]) : 4433;

        System.out.println("=== Corretto 27 PQ TLS Check ===");
        System.out.println("Target: " + host + ":" + port);
        System.out.println("Java version: " + System.getProperty("java.version"));
        System.out.println("Java vendor:  " + System.getProperty("java.vendor"));
        System.out.println();

        // 自己署名証明書を許容する TrustManager（検証用のみ）
        TrustManager[] trustAll = new TrustManager[]{
            new X509TrustManager() {
                public void checkClientTrusted(X509Certificate[] c, String a) {}
                public void checkServerTrusted(X509Certificate[] c, String a) {}
                public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; }
            }
        };

        SSLContext ctx = SSLContext.getInstance("TLS");
        ctx.init(null, trustAll, null);

        SSLSocketFactory factory = ctx.getSocketFactory();
        try (SSLSocket socket = (SSLSocket) factory.createSocket(host, port)) {
            socket.setEnabledProtocols(new String[]{"TLSv1.3"});

            // 明示設定していないため null が返る（JDK デフォルトが適用される）
            SSLParameters params = socket.getSSLParameters();
            String[] namedGroups = params.getNamedGroups();
            System.out.println("--- Named Groups (client preference order) ---");
            if (namedGroups != null) {
                for (int i = 0; i < namedGroups.length; i++) {
                    System.out.printf("  [%d] %s%n", i, namedGroups[i]);
                }
            } else {
                System.out.println("  (not set explicitly — JDK default applies)");
            }
            System.out.println();

            // ハンドシェイク実行（ssl:handshake デバッグログは JVM が出力）
            socket.startHandshake();

            SSLSession session = socket.getSession();
            System.out.println("--- TLS Session ---");
            System.out.println("Protocol:     " + session.getProtocol());
            System.out.println("CipherSuite:  " + session.getCipherSuite());
            System.out.println("PeerHost:     " + session.getPeerHost());
            System.out.println();
            System.out.println("SUCCESS: TLS handshake completed.");
        }
    }
}