Kurumlar Kuantum Tehdidine Karşı Kriptografik Altyapılarını Yeniliyor

Kuantum bilgisayarların gelecekte oluşturabileceği güvenlik riskleri, kurumların açık anahtar altyapısı (PKI) sistemlerini yeniden değerlendirmesine yol açıyor. Sectigo araştırmasına göre bilgi teknolojileri ve güvenlik liderlerinin yüzde 78’i, kuantum sonrası kriptografiye geçişin yanı sıra SSL/TLS sertifikalarının kullanım sürelerinin kısalması nedeniyle PKI altyapısında önemli değişikliklere ihtiyaç duyulacağını düşünüyor. Araştırmaya katılan kurumların yüzde 83’ü gelecek yıl kuantuma hazırlık çalışmaları için bütçe ayırırken, yüzde 93’ü önümüzdeki iki ila üç yılda kuantum sonrası kriptografi yatırımlarının artmasını bekliyor.

Kurumlar Kuantum Sonrası Kriptografi İçin Hazırlıklarını Hızlandırıyor

Sectigo araştırması, kuruluşların kuantum saldırılarına karşı savunmasız olabilecek sistemleri belirleme çalışmalarında ilerleme kaydettiğini ortaya koyuyor. Bu sistemleri değerlendirmeye başlayan kurumların oranı 2025’te yüzde 14 seviyesindeyken araştırma, katılımcıların yüzde 44’ünün değerlendirmelerini büyük ölçüde tamamladığını gösteriyor.

Geçen yıl kurumların öncelikleri daha kısa sertifika geçerlilik sürelerine uyum sağlamak ve gelecekte kuantum sonrası kriptografiye (PQC) geçiş için hazırlık yapmak etrafında şekilleniyordu. Günümüzde ise bu iki konu, kriptografik varlıkların belirlenmesi, otomasyon, sistem mimarisi, yönetişim ve bütçe planlaması gibi alanlarda doğrudan operasyonel çalışma gerektiriyor.

Sectigo Teknoloji Direktörü Nick France, kuruluşların artık kriptografik değişime hazırlanıp hazırlanmamaları gerektiğini tartışmak yerine bu değişimin gerektirdiği uygulamaları ele aldığını belirtiyor. France’a göre kuantum sonrası kriptografi, yalnızca algoritmaları değiştirmekten ibaret değil; kısa sertifika süreleri de yalnızca yenileme işlemlerinin sıklaşması anlamına gelmiyor. Kurumların hem genel kullanıma açık hem de özel PKI ortamlarında kullandıkları kriptografik altyapıyı keşfetme, yönetme ve uyarlama süreçlerini yeniden ele alması gerekiyor.

SSL/TLS sertifikalarının geçerlilik sürelerindeki düşüş, kurumların kriptografik altyapı yönetimini daha sık ve düzenli yürütmesini gerektiriyor. Genel güven zincirine sahip SSL/TLS sertifikalarının azami geçerlilik süresi mart ayında 398 günden 200 güne indirildi. Planlamaya göre bu sınırın Mart 2027’de 100 güne, Mart 2029’da ise 47 güne düşmesi bekleniyor.

Araştırmaya katılan kuruluşların yüzde 62’si, genel kullanıma açık SSL/TLS sertifikalarının eksiksiz ve güncel envanterine sahip olduğunu bildiriyor. Aylık sertifika yenilemelerine çok iyi hazırlandığını belirtenlerin oranı ise 2025’teki yüzde 28 seviyesinin iki katından fazla. Araştırma, bu hazırlığın önemli ölçüde otomatik sertifika yönetimi sistemlerine dayandığını ortaya koyuyor.

Kurumların yüzde 73’ü, daha kısa sertifika süreleri nedeniyle sertifika yönetimi otomasyonuna yönelik yatırımlarını artırmayı planlıyor. Buna karşılık katılımcıların yüzde 61’i son 12 ay içinde sertifikalarla ilişkili bir hizmet kesintisi veya güvenlik olayı yaşadığını belirtiyor. Veriler, sertifika yenileme süreçlerinin manuel işlemlerle yürütülmesinin operasyonel riskleri artırabileceğine işaret ediyor.

France, kuruluşların kriptografiyi artık değişmeden kalan bir altyapı olarak yönetemeyeceğini vurguluyor. France’a göre kurumların algoritmalar, standartlar ve gereksinimler değiştikçe büyük operasyonel aksaklıklar yaşamadan uyum sağlayabilmesi gerekiyor. Bunun için sürekli kriptografik keşif, risk önceliklendirmesi, geçiş planlaması ve denetimli değişiklik süreçlerinin düzenli biçimde uygulanması önem taşıyor.

Araştırma, İnternet Mühendisliği Görev Gücü (IETF) tarafından geliştirilmekte olan Merkle Ağacı Sertifikalarını (MTC) da yeni sertifika mimarilerine yönelik çalışmaların bir örneği olarak ele alıyor. Önerilen mimari, kriptografik altyapının gelecekteki gereksinimlere nasıl uyarlanabileceğine ilişkin tartışmaların bir parçasını oluşturuyor.

Ancak MTC mimarisini tanıyan katılımcılar arasında bile sistemlerin, süreçlerin ve çalışma ortamlarının bu yapıyı desteklemek için hangi değişikliklere ihtiyaç duyduğunu açıkça anladığını belirtenlerin oranı yalnızca yüzde 40 seviyesinde kalıyor. Bu sonuç, kurumların yeni kriptografik standartlar hakkında bilgi sahibi olmasının tek başına geçiş planlaması için yeterli olmadığını gösteriyor.

Kuruluşların mevcut sertifikalarını, algoritmalarını ve kriptografik bağımlılıklarını belirlemesi; ardından değişikliklerin hangi sistemleri etkileyeceğini değerlendirmesi gerekiyor. Bu hazırlık, kuantum sonrası kriptografi standartlarına geçiş sırasında teknik uyumluluk sorunlarının ve plansız kesintilerin azaltılması açısından önem taşıyor.

Araştırmanın yayımlandığı dönemde ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), kuantum saldırılarına karşı savunmasız algoritmalardan kuantuma dayanıklı standartlara geçiş için izlenebilecek yaklaşım ve takvim hakkında rehberlik sundu.

NIST’in kuantum sonrası kriptografi standardizasyon projesini yöneten matematikçi Dustin Moody, mevcut şifreleme algoritmalarının belirli tarihlerden itibaren nasıl aşamalı olarak kullanımdan kaldırılacağını açıkladı. Moody, bazı algoritmaların federal sistemlerde belirli tarihlerden sonra yasaklanabileceğini, bazılarına ise kullanıcıların riski üstlenmesi koşuluyla izin verilebileceğini belirtti.

Bu tür takvimler, kuruluşların hangi sistemleri ne zaman dönüştürmesi gerektiğini planlamasına yardımcı oluyor. Kurumların kuantuma hazırlık sürecinde yalnızca yeni algoritmaları değerlendirmesi değil, mevcut kriptografik varlıklarını belirlemesi, sertifika yönetimini otomatikleştirmesi ve geçiş adımlarını yönetişim süreçlerine bağlaması da gerekiyor.

Kuantum sonrası kriptografiye geçiş, güvenlik ekipleri açısından tek seferlik bir teknoloji güncellemesinden daha kapsamlı bir dönüşüm anlamına geliyor. Sertifika sürelerinin kısalması ve yeni standartların aşamalı olarak devreye girmesi, kriptografik çevikliğin kurumların uzun vadeli güvenlik stratejilerinde daha merkezi bir yer edinmesini gerektiriyor.