AD CS'de Kuantum Sonrası Şifrelemeye genel bakış

Active Directory Sertifika Hizmetleri'ndeki (AD CS) Kuantum Sonrası Şifreleme (PQC), kuantum özellikli bilgisayarlardan gelen saldırılara karşı koyacak şekilde tasarlanmış algoritmalarla sertifikaların verilmesini ve yönetilmesini sağlar.

AD CS şu anda ML-DSA'ya destek veriyor. Bu makalede AD CS'deki PQC desteğinin kapsamı ve algoritmalar arasında geçerli olan temel gereksinimler açıklanmaktadır.

Kuantum Sonrası Şifreleme neden önemlidir?

AD CS tarafından verilen sertifikalar etki alanı kimlik doğrulaması, kod imzalama, Aktarım Katmanı Güvenliği (TLS) ve cihaz kaydı gibi kritik kurumsal işlemleri korur. Günümüzde bu sertifikaların çoğu, yeterince güçlü kuantum bilgisayarlara karşı savunmasız olabilecek RSA ve Eliptik Eğri Dijital İmza Algoritması (ECDSA) gibi asimetrik ortak anahtar algoritmalarını kullanır. Risk zaten iki nedenden dolayı gerçektir:

  • Uzun süreli güven. Kök CA sertifikaları, kod imzalama sertifikaları ve bugün verilen diğer uzun süreli imzalama kimlikleri, tam geçerlilik süreleri boyunca güvenilir kalmalıdır. Saldırgan, bir kuantum bilgisayar kullanılabilir duruma geldiğinde kuantum güvenlik açığına sahip bir algoritma kullanan imzaları taklit edebilir.
  • Şimdi hasat edin, şifreyi daha sonra çöz. Tehdit aktörleri, kuantum özellikleri olgunlaştıktan sonra şifrelerini daha sonra çözmek için şifrelenmiş verileri bugün yakalar ve depolar.

Saf ve bileşik kuantum sonrası sertifikalar

Kuantum sonrası sertifikalar iki biçimden birini alabilir:

Saf. Sertifika tek bir kuantum sonrası algoritması kullanır. Güven zincirindeki tüm bağlı olan tarafların imzaları doğrulamak için kuantum sonrası algoritmayı anlaması gerekir.

Kompozit. Sertifika, klasik bir algoritmayı (ECDSA veya RSA gibi) kuantum sonrası algoritmayla (ML-DSA-65 gibi) birleştirir. Bileşik imza hem klasik imza hem de kuantum sonrası imza içerir ve her ikisi de sertifikanın güvenilir olması için doğrulanmalıdır. Bir saldırganın bileşik imza oluşturmak için her iki algoritmayı da kesmesi gerekir. Temel alınan algoritmalardan biri kesintisiz kaldığı sürece sertifika güvenli kalır. Bileşik sertifikalar saf veya klasik sertifikalardan daha büyüktür ve bağlı olan tarafların bunları doğrulamak için bileşik biçimi ve her iki algoritmayı da anlaması gerekir.

AD CS'de desteklenen PQC algoritmaları

AD CS, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından standartlaştırılmış kuantum sonrası algoritmaları benimser. Destek gemileri aşamalar halinde.

Algoritması Standart Purpose AD CS desteği
ML-DSA FIPS 204 Dijital imzalar Mevcut (1. Aşama)
ML-KEM FIPS 203 Anahtar kapsülleme Planlandı (2. Aşama)
Bileşik ML-DSA IETF taslağı Klasik + PQ dijital imzalar Planlandı (Aşama 2)
Kompozit ML-KEM IETF taslağı Klasik + PQ anahtar kapsülleme Planlandı (2. Aşama)

Microsoft, Sertifika Kayıt İlkesi Web Hizmeti (CEP), Sertifika Kaydı Web Hizmeti (CES), Ağ Cihazı Kayıt Hizmeti (NDES) ve Çevrimiçi Yanıtlayıcı (OCSP) dahil olmak üzere tüm ilgili AD CS rol hizmetlerinde desteği genişletmeyi planlıyor.

Platform gereksinimleri

AD CS'deki PQC desteği aşağıdaki önkoşullara bağlıdır. Bu gereksinimler kullanılabilir hale geldikçe tüm PQC algoritmaları için geçerlidir.

  • Şifreleme API'si: Yeni Nesil (CNG) sağlayıcıları. Tüm PQC algoritmaları için CNG anahtar depolama sağlayıcıları gerekir. AD CS, eski Şifreleme Hizmeti Sağlayıcılarını (CSP) desteklemez.
  • Güncel Windows sunucuları ve istemcileri. PQC desteği, aşağıdaki tabloda listelenen platform sürümlerinde başlar. Bazı algoritmalar daha sonraki sürümleri gerektirebilir. Tam gereksinimler için her algoritmanın genel bakış makalesine bakın.
Bileşen İşletim sistemi sürümü
AD CS sunucuları 2026-05 Güvenlik güncelleştirmesi (KB5087539) veya üzeri yüklü Windows Server 2025.
Client Windows 11, 2025-10 güvenlikle ilgili olmayan güncelleştirmesi (KB5067036) veya daha yenisi yüklü olan 24H2 ve 25H2 sürümleri.

İlgili içerik

  • Last updated on