Kuantum Sonrası Kriptografi: “Şimdi Topla, Sonra Çöz” Tehdidine Karşı Şirketler Nereden Başlamalı?
Bugünkü kuantum bilgisayarlar, internetin dayandığı şifrelemeyi kıracak güçte değil. Ancak bu, tehdidin uzakta olduğu anlamına gelmiyor. Saldırganlar şifreli veriyi bugün toplayıp saklayabilir ve yeterince güçlü kuantum bilgisayarlar çıktığında çözebilir. Bu yaklaşım "şimdi topla, sonra çöz" (harvest now, decrypt later) olarak biliniyor. Yani yıllarca gizli kalması gereken veriler için risk, bugün şifrelendikleri anda başlıyor.
2026’da konu araştırma laboratuvarlarından çıkıp takvimlere, ihale şartnamelerine ve uyum planlarına girdi. Bu yazıda kuantum sonrası kriptografiye (post-quantum cryptography, PQC) geçişte neyin değiştiğini ve şirketlerin nereden başlaması gerektiğini özetliyoruz.
Takvim Artık Somut
- Standartlar hazır: NIST 2024’te ilk kuantum sonrası şifreleme standartlarını yayımladı (ML-KEM, ML-DSA ve SLH-DSA). NIST IR 8547’ye göre RSA-2048 ve ECC P-256 gibi bugünkü algoritmalar yaklaşık 2030’da kullanımdan kaldırılacak, 2035’te ise NIST ile uyumlu sistemlerde yasaklanacak.
- AB yol haritası: Haziran 2025’te yayımlanan koordineli çerçeve, üye devletlerden 2026 sonuna kadar ulusal PQC stratejilerini yayımlamalarını ve kriptografik envanter çalışmalarını başlatmalarını, yüksek riskli kullanımlar için geçişi 2030’a, kalanları ise 2035’e kadar tamamlamalarını bekliyor.
- ABD: Haziran 2026 tarihli bir başkanlık kararnamesiyle federal kurumlar için anahtar oluşturmada 2030, dijital imzalarda 2031 hedefi getirildi.
- Sektör: Google, kendi altyapısının geçişini 2029’a kadar tamamlama hedefini Mart 2026’da açıkladı. Microsoft ise Mayıs 2026’da Windows Server 2025’teki sertifika hizmetlerinde (AD CS) ML-DSA desteğini genel kullanıma açtı; yani kuantum sonrası algoritmalar çoğu şirketin kullandığı altyapıya girmiş durumda.
Neden "Henüz Erken" Demek Riskli?
Verinin ömrü, geçiş süresinden uzun olabilir. Sağlık kayıtları, kimlik bilgileri, fikri mülkiyet ve uzun vadeli sözleşmeler gibi verilerin gizliliğinin 10-15 yıl korunması gerekebilir. Bu veriler bugün klasik yöntemlerle şifreleniyorsa, ileride çözülme riski taşır.
Geçiş yıllar sürüyor. Büyük bir kurumda kriptografinin nerede kullanıldığını bulmak bile başlı başına bir proje. Envanter çıkmadan göç planı yapılamaz ve 2030 tarihi, ilk bakışta göründüğünden daha yakın.
Uzun ömürlü cihazlar özel bir risk. Sahada 10-15 yıl çalışacak IoT ve gömülü cihazlar, bugün tasarlanırken geleceğin algoritmalarını destekleyebilmeli. Uzaktan güvenli güncelleme alamayan bir cihaz, ileride değiştirilmesi en zor bileşen olur. Bu, AB Siber Dayanıklılık Yasası’nın güvenlik güncellemesi beklentileriyle de örtüşüyor.
Müşteriler soru sormaya başladı. Düzenlemeye tabi sektörlerde ihale şartnamelerine ve tedarikçi değerlendirmelerine PQC yol haritası soruları giriyor. Doğrudan düzenlenmeyen şirketler bile tedarik zinciri üzerinden bu talebi hissedebilir.
Nereden Başlamalı? 5 Adım
1. Kriptografik envanter çıkarın. Hangi algoritmalar, anahtarlar, sertifikalar ve protokoller nerede kullanılıyor? TLS, VPN, PKI, kod ve firmware imzalama, veritabanı şifreleme ve üçüncü taraf bağımlılıkların tümü kapsama girmeli. Bu envanter, yazılım malzeme listesinin (SBOM) kriptografik karşılığı gibi düşünülebilir.
2. Veri ömrüne ve maruziyete göre önceliklendirin. En uzun süre gizli kalması gereken ve en çok dışarıya açık sistemlerden başlayın. Uzun vadeli arşivler ve ağ üzerinden aktarılan hassas veriler genellikle ilk sıralarda yer alır.
3. Kripto-çevikliği (crypto-agility) mimarinin parçası yapın. Algoritmaları koda sabit gömmek yerine, değiştirilebilir ve yapılandırılabilir bir yapı kurun. Sertifika yönetimini otomatikleştirin ve cihazlarda güvenli uzaktan güncelleme yolunu baştan tasarlayın.
4. Pilot yapın ve hibrit yaklaşımı değerlendirin. Klasik ve kuantum sonrası algoritmaları birlikte kullanan hibrit yapılar, geçiş döneminde ek güvence sağlıyor. Düşük riskli sistemlerde pilot çalışmalar yapın; birçok bulut ve CDN sağlayıcısı kuantum sonrası destek sunmaya başladı, bunları değerlendirin.
5. Tedarikçilerinize sorun. Kullandığınız yazılım, donanım ve bulut hizmetlerinin PQC yol haritalarını öğrenin ve yeni sözleşmelere uygun gereksinimler ekleyin.
Sonuç: Panik Değil, Planlı Bir Başlangıç
Kuantum sonrası geçiş bir gecede yapılacak bir değişiklik değil; envanterle başlayan, yıllara yayılan bir dönüşüm. Bu yüzden en doğru zaman, acele etmeden ama gecikmeden, bugün başlamak. Envanteri çıkaran ve kripto-çevikliği mimarisine yerleştiren şirketler, hangi tarihte hangi düzenleme gelirse gelsin hazırlıklı olacak.
İlgili hizmetimiz: https://www.ranna.com.tr/yazilim-gelistirme-hizmeti/