Microsoft AD CS’ye Post-Quantum Cryptography Desteği Geldi: ML-DSA Dönemi Başlıyor

Uzun süredir “yakında yerini bulut tabanlı çözümlere bırakacağı” yönünde yorumlar yapılan Microsoft Active Directory Certificate Services (AD CS), gelişmeye devam ediyor. Özellikle 2025 yılının sonlarında gelen CRL partitioning ve 16K database page desteği gibi önemli yeniliklerin ardından, Mayıs 2026 güncellemesiyle birlikte AD CS altyapısına Post-Quantum Cryptography (PQC) desteği eklendi.

Bu güncelleme ile birlikte Microsoft, kuantum bilgisayarların gelecekte mevcut kriptografik algoritmaları kırabilme riskine karşı önemli bir adım atmış oldu.

Post-Quantum Cryptography (PQC) Nedir?

Post-Quantum Cryptography, kuantum bilgisayarların mevcut şifreleme algoritmalarını kırabilme riskine karşı geliştirilen yeni nesil kriptografi teknolojileridir.

Bugün internet, VPN, SSL/TLS, dijital sertifikalar ve elektronik imzalar gibi birçok sistem şu algoritmalara dayanır:

• RSA
• ECC (Elliptic Curve Cryptography)
• Diffie-Hellman

Bu algoritmalar klasik bilgisayarlar için oldukça güvenlidir. Ancak gelecekte gelişmiş kuantum bilgisayarların özellikle Shor’s Algorithm kullanarak bu algoritmaları çok daha kısa sürede kırabileceği öngörülüyor.

Bu nedenle “kuantum sonrası güvenli” yeni algoritmalar geliştiriliyor. İşte bunlara Post-Quantum Cryptography deniyor.

PQC Neden Önemli?

Bugün şifrelenen veriler gelecekte saklanıp çözülebilir.

Buna “Harvest Now, Decrypt Later” saldırısı denir.

Yani saldırganlar bugün:

• VPN trafiğini,
• TLS iletişimlerini,
• sertifikaları,
• yedekleri,
• arşivlenmiş verileri

toplayıp saklayabilir.

Kuantum bilgisayarlar yeterince geliştiğinde ise bu veriler çözülebilir hale gelebilir.

Özellikle şu alanlar risk altında:

• Bankacılık sistemleri
• Devlet kurumları
• Askeri altyapılar
• PKI ve sertifika altyapıları
• Active Directory Certificate Services
• VPN altyapıları
• Elektronik imza sistemleri

PQC Hangi Algoritmaları Kullanıyor?

PQC tarafında RSA ve ECC yerine farklı matematiksel problemlere dayalı algoritmalar kullanılıyor.

Öne çıkan bazı algoritmalar:

• ML-DSA
• ML-KEM
• CRYSTALS-Kyber
• CRYSTALS-Dilithium
• Falcon
• SPHINCS+

Örneğin Microsoft’un Windows Server 2025 AD CS güncellemesinde eklediği:

• ML-DSA-44
• ML-DSA-65
• ML-DSA-87

algoritmaları PQC imzalama algoritmalarıdır.

PQC Nerelerde Kullanılacak?

Gelecekte birçok altyapıda kullanılmaya başlanması bekleniyor:

• SSL/TLS sertifikaları
• VPN bağlantıları
• RDP güvenliği
• Kod imzalama (Code Signing)
• Active Directory Certificate Services
• Elektronik imza sistemleri
• Akıllı kart altyapıları
• IoT cihazları
• Bulut güvenliği

Microsoft ve PQC

Microsoft son yıllarda PQC tarafında ciddi yatırımlar yapıyor.

Özellikle:

• Windows Server 2025
• AD CS
• TLS altyapıları
• Azure servisleri

üzerinde Post-Quantum destekleri test edilmeye başlandı.

Mayıs 2026 güncellemesiyle AD CS tarafına ML-DSA desteğinin eklenmesi bunun önemli örneklerinden biri oldu.

PQC Mevcut Sistemleri Hemen Değiştirecek mi?

Hayır.

Şu an PQC teknolojileri geçiş sürecinde.

Birçok sistem halen:

• RSA
• ECC
• SHA-2

kullanmaya devam ediyor.

Önümüzdeki yıllarda hibrit kullanım modelleri bekleniyor. Yani hem klasik hem post-quantum algoritmalar birlikte çalışacak.

Örneğin:

• RSA + ML-KEM
• ECC + ML-DSA

gibi hibrit sertifika yapıları kullanılabilir.

ML-DSA Desteği Windows Server 2025’e Geldi

Mayıs 2026 güncellemesi sonrası Windows Server 2025 üzerinde çalışan AD CS altyapılarında aşağıdaki PQC algoritmaları desteklenmeye başladı:

• ML-DSA-44
• ML-DSA-65
• ML-DSA-87

Bu yenilik sayesinde sistem yöneticileri ve PKI ekipleri, kurumsal sertifika altyapılarında Post-Quantum Cryptography hazırlıklarını test etmeye başlayabiliyor.

Microsoft’un eklediği bu destek özellikle gelecekte kuantum bilgisayarların RSA ve ECC gibi geleneksel algoritmaları tehdit etmesi ihtimaline karşı “crypto agility” açısından oldukça önemli görülüyor.

AD CS Üzerinde PQC Nasıl Aktif Ediliyor?

Mayıs 2026 güncellemesi Issuing CA sunucusuna kurulduktan sonra, Certificate Template veya sertifika oluşturma ekranlarında yeni algoritmalar görünmeye başlıyor.

Ancak bazı önemli detaylar bulunuyor:

• Provider Category kısmında mutlaka Key Storage Provider seçilmeli
• Request Handling sekmesinde Signature işaretlenmeli

Bu ayarlar yapılmadığında ML-DSA algoritmaları listede görünmeyebiliyor.

İlk Test Sonuçları: Bazı Senaryolar Çalışıyor, Bazıları Henüz Hazır Değil

Yapılan ilk testlerde PQC desteğinin bazı iş yüklerinde başarılı olduğu, ancak birçok altyapı bileşeninde halen kısıtlamalar bulunduğu görüldü.

Code Signing Senaryoları Başarılı

En başarılı çalışan senaryolardan biri Code Signing oldu.

AD CS üzerinden üretilen ML-DSA-44 sertifikası ile PowerShell scriptleri başarıyla imzalanabildi. Özellikle Set-AuthenticodeSignature komutu kullanılarak yapılan testlerde herhangi bir problem yaşanmadı.

Dosya özellikleri incelendiğinde kullanılan imzalama algoritmasının gerçekten ML-DSA-44 olduğu doğrulandı.

Bu durum, Post-Quantum algoritmaların özellikle yazılım imzalama tarafında kullanılmaya başlanabileceğini gösteriyor.

IIS ve HTTPS Binding Sorunları

TLS tabanlı servislerde ise durum şimdilik daha karmaşık görünüyor.

IIS üzerinde HTTPS binding oluşturulmaya çalışıldığında aşağıdaki hata alındı:

There was an error while performing this operation. A specified logon session does not exist. It may already have been terminated. (Exception from HRESULT: 0x80070520).

Bu hata, mevcut TLS stack ve servis bileşenlerinin PQC sertifikalarıyla henüz tam uyumlu olmadığını gösteriyor.

RRAS ve SSTP VPN Tarafında Problemler Devam Ediyor

Benzer sorunlar RRAS ve SSTP VPN senaryolarında da ortaya çıktı.

PQC tabanlı TLS sertifikası RRAS üzerine atanabilse de, RemoteAccess servisi başlatılamadı. Özellikle SSTP kullanan VPN altyapılarında şu an için ML-DSA sertifikalarının üretim ortamında kullanılması mümkün görünmüyor.

Remote Desktop (RDP) Desteği Henüz Çalışmıyor

RDP tarafında yapılan testler de başarısız oldu.

PQC sertifikası RDP listener üzerine atanabilmesine rağmen istemciler bağlantı kuramadı ve aşağıdaki hata oluştu:

This computer can’t connect to the remote computer.
Error code: 0x904
Extended error code: 0x7

Bu durum, Microsoft’un RDP güvenlik katmanında henüz Post-Quantum sertifika desteğini tam olarak tamamlamadığını gösteriyor.

Microsoft AD CS Hala Gelişmeye Devam Ediyor

Uzun süredir “legacy teknoloji” olarak görülen AD CS’nin Microsoft tarafından halen aktif şekilde geliştiriliyor olması dikkat çekiyor.

Özellikle:

• Post-Quantum Cryptography desteği
• ML-DSA entegrasyonu
• Gelecekte beklenen ML-KEM desteği
• Modern PKI hazırlıkları

gibi yatırımlar, Microsoft’un kurumsal PKI altyapılarından vazgeçmediğini gösteriyor.

Mayıs 2026 güncellemesi, Microsoft AD CS için önemli bir dönüm noktası oldu. ML-DSA desteğinin eklenmesiyle birlikte kurumlar artık Post-Quantum Cryptography algoritmalarını test etmeye başlayabiliyor.

İlk test sonuçları özellikle Code Signing tarafında oldukça umut verici görünse de:

• IIS
• TLS servisleri
• RRAS/SSTP VPN
• Remote Desktop Services

gibi birçok kritik altyapı bileşeninde henüz tam destek bulunmuyor.

Bununla birlikte Microsoft’un attığı bu adım, kurumların gelecekte kuantum çağında güvenli kalabilmesi için PKI altyapılarını bugünden hazırlamaya başlaması gerektiğini açıkça gösteriyor.

Önümüzdeki Windows Server ve Windows güncellemelerinde:

• ML-KEM desteği
• Daha geniş TLS entegrasyonu
• PQC uyumlu servis altyapıları

gibi yeni geliştirmelerin gelmesi bekleniyor.