Post-kuantum kriptografi: NIST standartları ve geçişin nasıl işlediği

NIST’in ilk post-kuantum standartlarının birbiriyle nasıl örtüştüğü, geçişin neden Q-Day’den önce başlaması gerektiği ve kurumların bugün karşı karşıya olduğu pratik adımlar.

Bu sayfa İngilizceden çevrilmiştir. Şirket ve ürün adları ile kaynak bağlantıları değiştirilmemiştir. Orijinalini İngilizce okuyun

Post-kuantum kriptografi, bugün savunmasız olan açık anahtarlı kriptografiyi, gelecekteki kuantum bilgisayar saldırılarına dayanıklı olduğuna inanılan alternatiflerle değiştirme çabasıdır. NIST’in 2024’te yayımlanan ilk üç nihai standardı, geçişin araştırma aşamasından uygulamaya geçtiğini gösteriyor: kurumlardan artık açıkta kalan algoritmaların nerelerde kullanıldığını envanterlemeleri, önce neyi değiştireceklerine karar vermeleri ve yıllara yayılan geçiş çalışmalarına başlamaları bekleniyor.

Neden post-kuantum kriptografiye ihtiyaç var

Sorun, kuantum bilgisayarların her şeyi kırabilecek olması değil. Asıl endişe daha dar ama daha önemli: yaygın kullanılan açık anahtarlı sistemler, tam sayı çarpanlara ayırma, ayrık logaritma ve eliptik eğri ayrık logaritması gibi matematiksel problemlere dayanır. Yeterince güçlü bir kuantum bilgisayar, Shor algoritmasını çalıştırarak bu problemleri verimli biçimde çözebilir; bu da RSA, sonlu alan Diffie–Hellman ve eliptik eğri Diffie–Hellman gibi sistemleri geçersiz kılabilir.

Bu tehdit hâlâ geleceğe dönük. 2026 itibarıyla kuantum bilgisayarlar, yaygın olarak kullanılan kriptografik sistemleri kıracak işlem gücüne sahip değil ve Shor algoritmasının laboratuvar gösterimleri yalnızca çok küçük sayılarda başarılı oldu. Pratik engel teorik olasılık değil, mühendislik ölçeği: Wikipedia, hata düzeltme yükü nedeniyle klasik yöntemleri geride bırakmak için milyonlarca kübite sahip makineler gerekebileceğini belirtiyor.

Buna rağmen, tam yetkinlikte bir kuantum bilgisayarı beklemek hata olur. Geçiş yıllar alır ve bazı verilerin gizlilik ömrü uzundur. Bu nedenle “şimdi topla, sonra çöz” (harvest now, decrypt later) yaklaşımı planlamanın merkezindeki kavramlardan biri hâline geldi. Bir saldırgan bugün şifreli trafiği ya da depolanmış şifreli veriyi toplayıp, gelecekteki ilerlemeler çözmeyi mümkün kılana kadar saklayabilir. E-posta arşivleri, sağlık verileri, fikri mülkiyet, devlet kayıtları veya kritik altyapı günlükleri söz konusu olduğunda zarar, veriler ilk kez ele geçirildikten çok sonra ortaya çıkabilir.

Kuantum neyi değiştiriyor — ve neyi değiştirmiyor

Yaygın bir yanlış anlama, kuantum bilişimin tüm kriptografiyi geçersiz kıldığı yönünde.

Günümüzde kullanılan simetrik kriptografinin ve özet (hash) işlevlerinin çoğu, kuantum saldırılarına karşı görece güvenli kabul ediliyor. Grover algoritması, simetrik şifrelere karşı kaba kuvvet aramasını hızlandırabilir; ancak bu etki pratikte, örneğin anahtar boyutunu iki katına çıkarmak gibi daha büyük anahtar boyutları kullanılarak dengelenebilir. Bu yüzden en büyük kırılma açık anahtarlı kriptografi tarafında yaşanıyor; özellikle de:

anahtar oluşturma ve anahtar değişimi
açık anahtarlı şifreleme ve anahtar kapsülleme
dijital imzalar

Bu nedenle NIST’in PQC programı, yığının tamamını aynı anda değiştirmek yerine anahtar kapsülleme mekanizmalarına (KEM) ve dijital imza algoritmalarına odaklandı.

NIST ilk olarak neyi standartlaştırdı

NIST, teklif çağrısının ardından resmî standartlaştırma çalışmasını 2016’nın sonlarında başlattı. Standartlaştırma kaydına göre ilk tura 69 eksiksiz ve usulüne uygun başvuru girdi ve Temmuz 2020’de duyurulan üçüncü tura yedi aday kaldı. Yıllar süren değerlendirmenin ardından NIST, 13 Ağustos 2024’te ilk üç standardını nihai hâle getirdi.

Bu standartlar şunlar:

FIPS 203: ML-KEM, CRYSTALS-Kyber tabanlı Modül Kafes Tabanlı Anahtar Kapsülleme Mekanizması
FIPS 204: ML-DSA, CRYSTALS-Dilithium tabanlı Modül Kafes Tabanlı Dijital İmza Algoritması
FIPS 205: SLH-DSA, SPHINCS+ tabanlı Durumsuz Özet Tabanlı Dijital İmza Algoritması

NIST, ML-KEM’i genel şifreleme için birincil standart olarak tanımlıyor; görece küçük şifreleme anahtarlarını ve hızını öne çıkarıyor. ML-DSA, dijital imzalar için birincil standart. SLH-DSA ise farklı bir matematiksel temele dayanıyor ve ML-DSA’nın ileride zafiyetli olduğunun anlaşılması ihtimaline karşı yedek olarak konumlandırılıyor.

NIST’in kendi rehberliği açık: bu üç standart derhâl kullanıma hazır ve kurumlar bunları uygulamaya şimdi başlamalı.

Neden tek bir kazanan değil de birden çok standart var

Post-kuantum alanı, tek baskın matematiksel temele sahip değil. Farklı ailelerin farklı güçlü yönleri, uygulama özellikleri ve risk profilleri var. NIST’in tercihleri, bir portföy yaklaşımını yansıtıyor.

Kafes tabanlı kriptografi şu anda dağıtım yükünün önemli bölümünü taşıyor. NIST’in ilk standartlaştırdığı kafes tabanlı algoritmalar ML-KEM ve ML-DSA oldu. Bunlar kısmen performansları ve yönetilebilir anahtar boyutları nedeniyle cazip.

Ama çeşitlendirme önemli. NIST, birincil kafes tabanlı imza standardına yedek olarak özet tabanlı bir imza şeması olan SLH-DSA’yı seçti. Ardından 11 Mart 2025’te NIST, genel şifreleme için yedek KEM olarak HQC’yi seçti. HQC, kafes tabanlı değil, kod tabanlı bir yapı ve NIST, onu yedek seçenek olarak tutma gerekçesinin bu matematiksel yaklaşım farkı olduğunu söyledi.

Mesaj stratejik: dijital güvenin geleceğini tek bir varsayıma bağlamayın.

Sıradaki standartlar

NIST’in PQC çalışması 2024 sürümüyle sona ermedi.

CSRC proje sayfasına göre NIST şu alanlarda standartlaştırma çalışmalarını sürdürüyor:

Falcon, bir dijital imza algoritması
HQC, bir anahtar kapsülleme mekanizması

Standartlaştırma kaydına göre Falcon tabanlı standardın adı FIPS 206 altında FN-DSA olacak. 2026 ortası itibarıyla hâlâ taslak durumundaydı. Daha yavaş takvimin belirtilen nedeni uygulama karmaşıklığı: FN-DSA, imzalama sürecinde kayan noktalı Gauss örneklemesine dayanıyor ve NIST’e göre bu yapı, daha önce nihai hâle getirilen üç standarda kıyasla güvenli ve sabit zamanlı biçimde uygulanması daha zor.

HQC içinse NIST, Mart 2025’te yaklaşık bir yıl içinde bir taslak standardın beklendiğini, kamuoyu yorumlarının ardından nihai standardın da 2027’de çıkmasının öngörüldüğünü söyledi.

Bu kademeli takvim operasyonel açıdan önemli. Kurumların harekete geçmek için gelecekteki tüm seçenekleri beklemesi gerekmiyor. NIST, ML-KEM, ML-DSA ve SLH-DSA’nın dağıtımların çoğunun temelini oluşturmasını bekliyor ve bunların şimdiden kullanılması gerektiğini söylüyor.

İlk standartların kısa bir haritası

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Anahtar oluşturma / genel şifreleme desteği	Kafes tabanlı	Genel şifreleme için birincil standart
FIPS 204	ML-DSA	Dijital imzalar	Kafes tabanlı	İmzalar için birincil standart
FIPS 205	SLH-DSA	Dijital imzalar	Özet tabanlı	Yedek imza yöntemi
Forthcoming	FN-DSA	Dijital imzalar	NTRU-kafes tabanlı	Geliştirme aşamasındaki ek imza standardı
Forthcoming	HQC	Anahtar oluşturma / genel şifreleme desteği	Kod tabanlı	ML-KEM için yedek KEM

Geçiş gerçekte nasıl işliyor

Geçiş, bir kütüphaneyi değiştirmekten çok, sistemler genelindeki kriptografik bağımlılıkların yeniden tasarlanmasıyla ilgili.

NIST’in geçiş rehberine göre kurumların, savunmasız algoritmaların nerelerde kullanıldığını belirlemesi ve ürünler, hizmetler ile protokoller için güncelleme ya da değiştirme planı yapması gerekiyor. Bu da kriptografinin çoğu zaman zayıf belgelenmiş olduğu şu alanlarda iz sürmek anlamına geliyor:

TLS sonlandırma ve iç servisler arası bağlantılar
VPN’ler ve uzaktan erişim sistemleri
PKI ve sertifika iş akışları
kod imzalama ve belge imzalama
donanım güvenlik modülleri ve ürün yazılımı güncelleme sistemleri
kimlik, erişim ve anahtar yönetim araçları
gömülü cihazlar ve operasyonel teknoloji
eski anahtar oluşturma şemalarıyla korunan, uzun ömürlü saklanan veriler

İlk adım genellikle kriptografik envanter çıkarmaktır: RSA, Diffie–Hellman veya eliptik eğri mekanizmaları nerelerde kullanılıyor; doğrudan mı, üçüncü taraf ürünler aracılığıyla mı? İkinci adım önceliklendirmedir: hangi sistemler, uzun ömürlü sırları işledikleri veya yükseltilmeleri zor olduğu için yüksek risk taşıyor? Üçüncü adım ise uygulamadır: testler, birlikte çalışabilirlik çalışmaları, kademeli devreye alma ve politika değişiklikleri.

NIST’in takvimi aciliyet duygusunu artırıyor. CSRC sayfasında atıf yapılan geçiş takvimine göre NIST, kuantuma karşı savunmasız algoritmaları 2035 yılına kadar standartlarından kullanımdan kaldırmayı ve nihayetinde çıkarmayı planlıyor; daha yüksek riskli sistemler ise çok daha erken harekete geçirilecek.

En büyük mühendislik tavizleri

Post-kuantum geçişi yalnızca bir uyumluluk çalışması değil. Gerçek teknik ödünleşmeler içeriyor.

Geniş çerçevede bir ödünleşme, boyut ile verimlilik arasında. NIST’in PQC materyalleri, birçok PQC algoritmasının kuantum öncesi açık anahtarlı sistemlere göre daha büyük anahtarlar kullandığını belirtiyor. Ayrıca anahtar boyutu, hesaplama verimliliği ve şifreli metin ya da imza boyutu arasındaki ödünleşmeleri de anlatıyor. İnternete açık protokoller ve kısıtlı cihazlar için bu farklar bant genişliği, gecikme, bellek ve uygulama karmaşıklığını etkileyebilir.

Bir diğer ödünleşme, olgunluk ile çeşitlilik arasında. Kafes tabanlı sistemler, NIST değerlendirmelerinde birincil tercih olacak kadar iyi performans gösterdikleri için ilk standartlarda baskın durumda. Ancak yoğunlaşma riski gerçek; bu nedenle farklı matematiksel temellere dayanan yedek standartlar geliştiriliyor.

Üçüncü konu ise uygulama güvenliği. Standartlaştırma kaydı, Falcon için yan kanal endişelerinden söz ediyor ve olası azaltımların performansı etkileyebileceğini belirtiyor. Daha genel olarak, bir kriptografik tasarım kâğıt üzerinde güçlü görünebilir ama pratikte güvenli biçimde uygulanması yine de zor olabilir.

Standartların çözmediği konular

Bir standardın varlığı, kalıcı güvenliği kanıtlamaz. Post-kuantum algoritmaların kuantum saldırılarına dayanıklı olduğu kanıtlanmış değil, öyle olduğuna inanılıyor. Bu çekince, alanın doğasına içkin.

NIST sürecinden çıkarılan dersler de var. Değerlendirme sırasında bazı adaylar kırıldı. Wikipedia, özellikle görünür iki örneğe dikkat çekiyor: Rainbow, üçüncü turda klasik bir bilgisayarda kırıldı ve SIKE, dördüncü turda kırıldı. Bu başarısızlıklar PQC’nin tamamını geçersiz kılmaz; kamuya açık kriptoanalizin ve temkinli standartlaştırmanın neden zaman aldığını gösterir.

Şu konularda açık sorular sürüyor:

seçilen matematiksel problemlere duyulan uzun vadeli güven
satıcılar ve açık kaynak yığınları genelinde uygulama kalitesi
gerçek donanım ve yazılımda yan kanal direnci
protokoller ve sertifika ekosistemlerinde birlikte çalışabilirlik
kurumların algoritma aileleri arasında ne kadar agresif biçimde çeşitlendirmeye gitmesi gerektiği

“Ne zaman geçilmeli?” sorusuna pratik bir yaklaşım

Çoğu kurum için doğru çerçeve, “Q-Day gelecek yıl mı?” değil, “Geçişimiz ne kadar sürecek ve verilerimizin ne kadar süre güvende kalması gerekiyor?” sorusudur.

Sistemleriniz derinlemesine gömülü, regülasyona tabi, küresel ölçekte dağıtılmış ya da tedarikçilere bağımlıysa geçiş yavaş olabilir. Verileriniz yıllar sonra bile hassas kalacaksa, şimdi topla-sonra çöz riski gecikmeyi daha maliyetli hâle getirir. NIST’in, kuantum bilgisayarlar henüz gerekli ölçeğe ulaşmamış olsa bile 2024 standartlarının derhâl benimsenmesini istemesinin nedeni bu mantık.

Kısacası PQC geçişi, klasik bir altyapı dönüşümüdür: acil durum ortaya çıkmadan önce başlayın; çünkü acil durum apaçık hâle geldiğinde, sorunsuz geçiş için artık çok geç olur.

Temel çıkarımlar

Post-kuantum kriptografi esas olarak tüm mevcut kriptografiyi çöpe atmakla değil, savunmasız açık anahtarlı sistemlerin yerini almakla ilgilidir.
Shor algoritmasını çalıştıran yeterince güçlü bir kuantum bilgisayar, RSA, Diffie–Hellman ve eliptik eğri Diffie–Hellman’ı kırabilir.
NIST, ilk üç PQC standardını 13 Ağustos 2024 tarihinde nihai hâle getirdi: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) ve FIPS 205 (SLH-DSA).
NIST, bu standartların bugün kullanıma hazır olduğunu ve kurumların geçişe derhâl başlaması gerektiğini söylüyor.
ML-KEM, genel şifrelemeyle ilişkili anahtar oluşturma için birincil standart; ML-DSA, birincil imza standardı; SLH-DSA ise yedek bir imza yöntemi.
NIST, Mart 2025’te HQC’yi, ML-KEM’den farklı matematiğe dayanan yedek bir KEM olarak seçti.
Geçiş; savunmasız algoritmaların nerelerde kullanıldığını keşfetmek, ardından yüksek riskli sistemleri önceliklendirmek ve kademeli değiştirme planı yapmakla başlar.
Önemli ödünleşmeler arasında daha büyük anahtar malzemesi, performans ve bant genişliği maliyetleri, uygulama karmaşıklığı ve matematiksel çeşitliliğin değeri bulunur.
PQC standartları gelecekteki riski azaltır, ancak belirsizliği ortadan kaldırmaz; kriptoanalizin, uygulama incelemesinin ve operasyonel testlerin sürmesi kritik önem taşır.
Asıl aciliyet, uzun geçiş sürelerinden ve yıllarca gizli kalması gereken verilere yönelik harvest now, decrypt later saldırılarının olasılığından kaynaklanır.