Kuantum sonrası TLS pilotunda yedi kök var, hiçbiri üretim için değil

Microsoft Security Research’ün 8 Ekim 2026 tarihli teknik açıklaması, PQC TLS Pilot Programı’ndaki yedi ML-DSA-87 kökünün kapalı test ortamlarıyla sınırlı olduğunu belirtiyor. Pilot sertifikaları kamuya açık güven taşımıyor; üretim sistemlerinde veya halka açık web sitelerinde kullanılmamalı. Program, sertifika otoritelerinin kuantum sonrası sertifika hiyerarşilerini kontrollü koşullarda sınamasına imkân veriyor.

Microsoft Trusted Root Program’ın 27 Ağustos 2026 dağıtım kaydı, ComSign, DigiCert, HARICA, IdenTrust Services, Sectigo, Shanghai Electronic Certification Authority ve SSL.com tarafından işletilen yedi pilot kökü listeliyor. Aynı ekleme listesinde Visa TLS Root CA da ayrı bir kalem olarak yer alıyor; dağıtımdaki bütün kökleri PQC pilotuna dahil etmek bu yüzden hatalı olur.

Kök deposundaki kayıt neden üretim güveni sağlamıyor?

Bir pilot kökün dağıtım kaydında görünmesi, onun genel internette güvenilen bir sertifika otoritesine dönüştüğü anlamına gelmiyor. Buradaki amaç, katılımcı otoritelerin kökleri ve bunlardan türeyen sertifikaları kapalı uygulamalarda, kurumsal test ortamlarında ve birlikte çalışabilirlik denemelerinde değerlendirmesi. Genel web güveni ise istemcinin hangi kökü hangi kullanım için kabul edeceğine ilişkin ayrı bir karar.

Bu sınır, güven depolarını yöneten kurumlar için somut bir yapılandırma meselesi. Pilot zinciri doğrulayacak güven çapası ayrılmış test ortamında bulunmalı; üretim istemcilerinin kabul ettiği kökler arasına sıradan bir güncelleme gibi eklenmemeli. Kapalı bir ortamda bağlantı kurulması da farklı tarayıcıların, işletim sistemlerinin veya üçüncü taraf istemcilerin aynı sertifikayı kabul edeceği sonucunu vermez. Denemenin değeri, kullanılan güven deposu ve istemci bilindiğinde ortaya çıkar.

ML-DSA-87, pilot köklerin imza algoritmasıdır; bu bilgi tek başına sertifika hiyerarşisinin bütün bileşenlerinin hazır olduğunu göstermez. Kökün dağıtılması, ara sertifikaların sunulması ve uç sertifikanın istemci tarafından doğrulanması aynı güven kararının farklı aşamalarıdır. Üretim güveni için geçerli bir kabul kararı bulunmadığından, pilot sertifikasıyla halka açık bir hizmeti korumaya çalışmak programın tanımlanan kullanımının dışına çıkar.

Pilotun asıl sınavı sertifika zincirinin tamamında

Yeni imzayı işleyebilen tek bir kriptografi kitaplığı, uçtan uca TLS uyumluluğu sağlamaz. Sertifika önce üretilir, özel anahtarı saklanır, ara sertifikaları dağıtılır ve bağlantının öbür ucundaki yazılım tarafından doğrulanır. Uygulama algoritmayı tanısa bile zincirin boyutu, sertifikanın kodlanışı veya doğrulayıcının güven varsayımları başka bir aşamada sorun çıkarabilir. Bu nedenle başarılı bir imza doğrulaması ile çalışan bir hizmet bağlantısı aynı sonuç değildir.

Pilotun aradığı bulgu, bağlantı başarısız olduğunda bunun hangi halkada gerçekleştiğidir. Sertifika otoritesi yazılımı ve donanım güvenlik modülü anahtar ile sertifika üretiminde; uygulama kitaplığı, ağ inceleme aracı ve istemci ise kullanım ve doğrulama aşamasında devreye girer. Sertifika boyutuna ilişkin sabit sınırlar veya tanınmayan imza türleri, kriptografik işlem doğru olsa bile akışı kesebilir. Bir bileşenin desteği, diğerlerinin sürüm ve yapılandırma gereksinimlerini ortadan kaldırmaz.

Kurumsal özel PKI ile dış sertifika otoritelerinden alınan sertifikalar da farklı güven ilişkileri kurar. Aynı uygulama, iç hizmete bağlanırken kurum köküne; dış hizmete bağlanırken başka bir güven deposuna dayanabilir. Bu ayrım kaydedilmeden yapılan bir deneme, hangi kökün gerçekten kullanıldığını belirsiz bırakır. Pilot sonucu ancak uç sertifikadan güven çapasına ve onu doğrulayan istemciye kadar izlenebildiğinde başka sistemler için anlamlı hale gelir.

Windows desteği hangi denemeye imkân veriyor?

Cyber Insider’ın aktardığı test kapsamına göre, desteklenen ve uygun biçimde yapılandırılmış Windows 11 sistemleri ML-DSA sertifikalarını üretim dışı pilot senaryolarında değerlendirebiliyor; desteklenen Schannel senaryoları da bu kapsamda yer alıyor. Bu olanak, sertifika zincirinin gerçek bir istemci ve TLS bileşeni üzerinden nasıl işlendiğini gözlemlemeyi sağlıyor. İşletim sistemindeki destek, uygulamanın veya bağlantının karşı ucundaki hizmetin hazır olduğu anlamına gelmiyor.

Denemenin koşulları bu yüzden sonuç kadar önemli: kullanılan Windows sürümü ve güncellemesi, uygulama, sertifika hiyerarşisi ve güven deposu birlikte tanımlanmalı. Bağlantı kurulamadığında sorun yalnızca imza doğrulamasında aranmaz; zincirin ayrıştırılması, uzunluğu veya trafiği inceleyen ara yazılım da sonucu etkileyebilir. Ayrılmış ortam, bu uyumsuzlukların üretimdeki sertifika yenileme ve güven politikaları değiştirilmeden görülmesine yarar.

PKI ekiplerinin bugün hangi envantere ihtiyacı var?

Türkiye’de kurumsal PKI yöneten ekipler için yakın karar, pilot köklerden üretim sertifikası edinmek değil, mevcut sertifika bağımlılıklarını görünür kılmak. Alan adı ve son kullanma tarihi listesi bu iş için yetersiz kalır: yeni bir imzanın hangi yazılımda, cihazda veya güven deposunda takılacağını göstermez. Kapalı bir denemenin kapsamı şu kayıtlarla belirginleşir:

• Her hizmet için uç sertifikayı, ara sertifikaları ve güven çapasını birlikte kaydedin. Kökün kuruma mı yoksa dış bir otoriteye mi ait olduğunu, hangi istemcilerin ona güvendiğini belirtin.
• Sertifikayı üreten, dağıtan, yenileyen ve doğrulayan bileşenleri ayrı ayrı eşleyin. Yenileme aracının çalışması, sertifikayı kullanan uygulamanın yeni imzayı ve daha büyük zinciri işleyebildiğini göstermez.
• Özel anahtarın saklandığı donanım güvenlik modülünü ve sertifika otoritesi yazılımını zincire ekleyin. Her sağlayıcı için algoritma desteğinin hangi sürümde ve hangi test koşullarında bulunduğunu öğrenin.
• İstemcilerin, gömülü cihazların, ağ geçitlerinin ve TLS trafiğini inceleyen araçların güncelleme yolunu kaydedin. Sabit sertifika boyutu veya belirli imza türü varsayan bileşenleri ayrıca işaretleyin.
• Pilot için kullanılan güven deposunu ve sertifika hiyerarşisini üretim ortamından ayırın. Her denemenin kaydında çalışan yapılandırmayı veya hatanın görüldüğü zincir halkasını belirtin.

Bu envanter, sağlayıcılarla yapılacak görüşmeyi de somutlaştırır. Genel bir kuantum sonrası destek beyanı yerine, belirli bir kökün, ara sertifikanın, istemcinin ve anahtar saklama düzeninin birlikte sınanıp sınanamadığı sorulabilir. Kapalı testten çıkan uyumsuzluklar, hangi uygulama güncellemesinin veya PKI değişikliğinin önce ele alınacağını belirler; pilot köklerin üretim güvenine alınacağına dair bir kararın yerini tutmaz.

Ayrıca okuyun:

• AI pilotu hızlandı diye başarılı sayılmaz: ROI’yi dört sonuçla ölçün
• Microsoft Entra MCP trafiğini duvarın arkasına alıyor; TLS denetimi şart
• S-Transistors 2,6 milyon avro aldı: Hedef kuantum kablo duvarı