Kuantum bilgisayarların gelecekte oluşturabileceği güvenlik riskleri, kurumların açık anahtar altyapısı (PKI) sistemlerini yeniden değerlendirmesine yol açıyor. Sectigo araştırmasına göre bilgi teknolojileri güvenlik liderlerinin yüzde 78’i, kuantum sonrası kriptografiye geçişin yanı sıra SSL/TLS sertifikalarının kullanım sürelerinin kısalması nedeniyle PKI altyapısında önemli değişikliklere ihtiyaç duyulacağını düşünüyor. Araştırmaya katılan kurumların yüzde 83’ü gelecek yıl kuantuma hazırlık çalışmaları için bütçe ayırırken, yüzde 93’ü önümüzdeki iki ila üç yılda kuantum sonrası kriptografi yatırımlarının artmasını bekliyor.
Kurumlar Kuantum Sonrası Kriptografi İçin Hazırlıklarını HızlandırıyorSectigo araştırması, kuruluşların kuantum saldırılarına karşı savunmasız olabilecek sistemleri belirleme çalışmalarında ilerleme kaydettiğini ortaya koyuyor. sistemleri değerlendirmeye başlayan kurumların oranı 2025’te yüzde 14 seviyesindeyken araştırma, katılımcıların yüzde 44’ünün değerlendirmelerini büyük ölçüde tamamladığını gösteriyor.
Geçen yıl kurumların öncelikleri daha kısa sertifika geçerlilik sürelerine uyum sağlamak gelecekte kuantum sonrası kriptografiye (PQC) geçiş için hazırlık yapmak etrafında şekilleniyordu. Günümüzde ise iki konu, kriptografik varlıkların belirlenmesi, otomasyon, sistem mimarisi, yönetişim bütçe planlaması gibi alanlarda doğrudan operasyonel çalışma gerektiriyor.
Sectigo Teknoloji Direktörü Nick France, kuruluşların artık kriptografik değişime hazırlanıp hazırlanmamaları gerektiğini tartışmak yerine değişimin gerektirdiği uygulamaları ele aldığını belirtiyor. France’a göre kuantum sonrası kriptografi, yalnızca algoritmaları değiştirmekten ibaret değil; kısa sertifika süreleri yalnızca yenileme işlemlerinin sıklaşması anlamına gelmiyor. Kurumların hem genel kullanıma açık hem özel PKI ortamlarında kullandıkları kriptografik altyapıyı keşfetme, yönetme uyarlama süreçlerini yeniden ele alması gerekiyor.
SSL/TLS sertifikalarının geçerlilik sürelerindeki düşüş, kurumların kriptografik altyapı yönetimini daha sık düzenli yürütmesini gerektiriyor. Genel güven zincirine sahip SSL/TLS sertifikalarının azami geçerlilik süresi mart ayında 398 günden 200 güne indirildi. Planlamaya göre sınırın Mart 2027’ 100 güne, Mart 2029’ ise 47 güne düşmesi bekleniyor.
Araştırmaya katılan kuruluşların yüzde 62’si, genel kullanıma açık SSL/TLS sertifikalarının eksiksiz güncel envanterine sahip olduğunu bildiriyor. Aylık sertifika yenilemelerine çok iyi hazırlandığını belirtenlerin oranı ise 2025’teki yüzde 28 seviyesinin iki katından fazla. Araştırma, hazırlığın önemli ölçüde otomatik sertifika yönetimi sistemlerine dayandığını ortaya koyuyor.
Kurumların yüzde 73’ü, daha kısa sertifika süreleri nedeniyle sertifika yönetimi otomasyonuna yönelik yatırımlarını artırmayı planlıyor. Buna karşılık katılımcıların yüzde 61’i son 12 ay içinde sertifikalarla ilişkili hizmet kesintisi veya güvenlik olayı yaşadığını belirtiyor. Veriler, sertifika yenileme süreçlerinin manuel işlemlerle yürütülmesinin operasyonel riskleri artırabileceğine işaret ediyor.
France, kuruluşların kriptografiyi artık değişmeden kalan altyapı olarak yönetemeyeceğini vurguluyor. France’a göre kurumların algoritmalar, standartlar gereksinimler değiştikçe büyük operasyonel aksaklıklar yaşamadan uyum sağlayabilmesi gerekiyor. Bunun için sürekli kriptografik keşif, risk önceliklendirmesi, geçiş planlaması denetimli değişiklik süreçlerinin düzenli biçimde uygulanması önem taşıyor.
Araştırma, İnternet Mühendisliği Görev Gücü (IETF) tarafından geliştirilmekte olan Merkle Ağacı Sertifikalarını (MTC) yeni sertifika mimarilerine yönelik çalışmaların örneği olarak ele alıyor. Önerilen mimari, kriptografik altyapının gelecekteki gereksinimlere nasıl uyarlanabileceğine ilişkin tartışmaların parçasını oluşturuyor.
Ancak MTC mimarisini tanıyan katılımcılar arasında bile sistemlerin, süreçlerin çalışma ortamlarının yapıyı desteklemek için hangi değişikliklere ihtiyaç duyduğunu açıkça anladığını belirtenlerin oranı yalnızca yüzde 40 seviyesinde kalıyor. sonuç, kurumların yeni kriptografik standartlar hakkında bilgi sahibi olmasının tek başına geçiş planlaması için yeterli olmadığını gösteriyor.
Kuruluşların mevcut sertifikalarını, algoritmalarını kriptografik bağımlılıklarını belirlemesi; ardından değişikliklerin hangi sistemleri etkileyeceğini değerlendirmesi gerekiyor. hazırlık, kuantum sonrası kriptografi standartlarına geçiş sırasında teknik uyumluluk sorunlarının plansız kesintilerin azaltılması açısından önem taşıyor.
Araştırmanın yayımlandığı dönemde ABD Ulusal Standartlar Teknoloji Enstitüsü (NIST), kuantum saldırılarına karşı savunmasız algoritmalardan kuantuma dayanıklı standartlara geçiş için izlenebilecek yaklaşım takvim hakkında rehberlik sundu.
NIST’in kuantum sonrası kriptografi standardizasyon projesini yöneten matematikçi Dustin Moody, mevcut şifreleme algoritmalarının belirli tarihlerden itibaren nasıl aşamalı olarak kullanımdan kaldırılacağını açıkladı. Moody, bazı algoritmaların federal sistemlerde belirli tarihlerden sonra yasaklanabileceğini, bazılarına ise kullanıcıların riski üstlenmesi koşuluyla izin verilebileceğini belirtti.
tür takvimler, kuruluşların hangi sistemleri ne zaman dönüştürmesi gerektiğini planlamasına yardımcı oluyor. Kurumların kuantuma hazırlık sürecinde yalnızca yeni algoritmaları değerlendirmesi değil, mevcut kriptografik varlıklarını belirlemesi, sertifika yönetimini otomatikleştirmesi geçiş adımlarını yönetişim süreçlerine bağlaması gerekiyor.
Kuantum sonrası kriptografiye geçiş, güvenlik ekipleri açısından tek seferlik teknoloji güncellemesinden daha kapsamlı dönüşüm anlamına geliyor. Sertifika sürelerinin kısalması yeni standartların aşamalı olarak devreye girmesi, kriptografik çevikliğin kurumların uzun vadeli güvenlik stratejilerinde daha merkezi yer edinmesini gerektiriyor.
