Post-quantum Key Exchange nedir?

Kısa cevap

Post-Quantum Key Exchange, yeterince güçlü kuantum bilgisayarların bugünkü elliptic curve ve RSA tabanlı key exchange'i kırabilmesi riskine karşı geliştirilmiş key exchange yöntemidir; asıl tehdit, bugün kaydedilen şifreli trafiğin ileride çözülmesidir ("harvest now, decrypt later"). TLS'te hibrit yaklaşım kullanılır: klasik X25519 ile NIST'in standartlaştırdığı ML-KEM birleştirilir ve session key iki bileşenden birlikte türetilir. TR7'de TLS Security Profile'daki Post-Quantum Key Exchange açıldığında vService, TLS 1.3'te X25519MLKEM768 grubunu ilk tercih olarak sunar; desteklemeyen istemciler klasik gruplarla bağlanmaya devam eder.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Certificates & PKI → TLS Security Profiles → Frontend-only Settings	Post-Quantum Key Exchange (varsayılan kapalı)	TLS 1.3'te X25519MLKEM768 hibrit grubunu sunma; profil HTTP ya da L7 TCP vService'in SSL Security alanında seçilir
HTTP ve L7 TCP vService → Details → QOS	Core Engine	Ayarın uygulanması seçili Core engine'in ML-KEM desteğine bağlıdır; destek yoksa vService bildirimlerinde The selected core engine does not support ile başlayan kayıt görülür

Nasıl Çalışır?

• ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism), NIST'in FIPS 203 ile standartlaştırdığı, kuantum bilgisayarlara dayanıklı kabul edilen key encapsulation algoritmasıdır.
• X25519MLKEM768 grubunda istemci ve sunucu hem X25519 hem ML-KEM-768 değişimi yapar; session key ikisinden birlikte türetildiği için güvenlik, iki algoritmadan en az biri kırılmadığı sürece korunur.
• Yalnızca key exchange post-quantum'dur; sertifika imzaları ve authentication klasik algoritmalarla (RSA, ECDSA) yapılmaya devam eder.

Sık Karıştırılan Noktalar

• "Post-quantum açmak sertifikaların değişmesini gerektirir." Yalnızca key exchange'i etkiler; sertifika ve authentication aynı kalır.
• "Desteklemeyen istemciler bağlanamaz." Klasik gruplar yedek olarak sunulduğu için bu istemciler klasik grupla bağlanır; yalnızca post-quantum'a zorlanmaz.
• "Ayar Kurum Servisi bağlantılarını da korur." Ayar Frontend-only Settings altındadır; yalnızca istemci ile vService arasındaki TLS 1.3 bağlantısına uygulanır (Post-kuantum anahtar değişimi destekleniyor mu?).

Dokümantasyonda nasıl yapılır

• TLS Security Profiles · Post-Quantum Key Exchange
• HTTP (L7) vService · Core Engine

İlgili sorular

• Post-kuantum anahtar değişimi destekleniyor mu?
• Perfect Forward Secrecy (PFS) ve ECDHE nedir?
• TLS sürümleri (TLS 1.0, 1.1, 1.2, 1.3) arasındaki fark nedir?