Kuantum Bilgisayarlar Şifreleri Kırabilir mi? Kuantum Sonrası Şifreleme

Kuantum bilgisayarlar şifreleri kırabilir mi?

Bugün internetin güvenliği büyük ölçüde iki matematik problemine dayanır: büyük sayıları asal çarpanlarına ayırmak (RSA) ve ayrık logaritma problemi (Diffie–Hellman ve eliptik eğri algoritmaları). Klasik bilgisayarlar bu problemleri büyük sayılarda makul sürede çözemez.

Kuantum sonrası şifrelemeye neden ihtiyaç duyulduğu buradan anlaşılır: 1994'te Bell Laboratuvarları'ndan Peter Shor, yeterince büyük bir kuantum bilgisayarın bu iki problemi de verimli biçimde çözebileceğini gösterdi. NIST'in 2016 tarihli raporu (NIST IR 8105) bunun sonucunu açıkça yazar: böyle bir makine yapıldığında RSA, ECDSA ve ECDH gibi açık anahtarlı algoritmalar artık güvenli olmayacaktır.

Ancak bu makine henüz yok. Şifre kırabilecek büyüklükteki, "kriptografik açıdan anlamlı" kuantum bilgisayarın ne zaman yapılabileceğine dair uzman tahminleri, NIST'in ifadesiyle birkaç yıldan birkaç on yıla kadar uzanıyor. Asimetrik algoritmaların nasıl çalıştığını asimetrik şifreleme ve RSA yazısında anlatıyoruz.

AES ve simetrik şifreleme ne kadar etkilenir?

Lov Grover'ın 1996'da yayımladığı kuantum arama algoritması, N olasılık arasında aramayı yaklaşık √N adımda yapabilir. Kaba bir hesapla bu, simetrik bir anahtarın güvenlik gücünü teoride yarıya indirir: 128 bitlik bir anahtar kuantum saldırganına karşı 64 bitlik gibi davranabilir.

Uygulamada durum bu kadar kötü değildir. NIST'in kuantum sonrası kriptografi SSS sayfasına göre Grover algoritmasının AES'e karşı çok az avantaj sağlaması ya da hiç sağlamaması kuvvetle muhtemeldir ve AES-128 onlarca yıl güvenli kalacaktır. NIST'in geçiş taslağı da en az 128 bitlik klasik güvenlik sağlayan simetrik algoritmaların kuantum sonrası dönemde yeterli sayıldığını ve bunlardan geçiş beklenmediğini belirtir.

Yine de uzun yıllar gizli kalması gereken veriler için AES-256 ucuz bir sigortadır. ABD Ulusal Güvenlik Ajansı (NSA) da ulusal güvenlik sistemleri için belirlediği kuantuma dayanıklı CNSA 2.0 algoritma paketinde simetrik şifreleme için AES-256'yı kullanır. AES'in ayrıntıları için simetrik şifreleme ve AES yazısına bakabilirsiniz.

"Şimdi topla, sonra çöz" riski

Kuantum bilgisayar henüz yokken acele edilmesinin nedeni, NIST'in geçiş taslağında da vurgulanan "harvest now, decrypt later" (şimdi topla, sonra çöz) tehdididir. Bir saldırgan bugün internetten geçen şifreli trafiği kaydedip saklayabilir. Bu trafiğin anahtarı RSA veya eliptik eğri yöntemleriyle paylaşıldıysa, yıllar sonra güçlü bir kuantum bilgisayar bulunduğunda kayıtlar çözülebilir.

Sağlık kayıtları, devlet sırları veya uzun vadeli ticari bilgiler gibi yıllarca değerini koruyan veriler için bu gerçek bir risktir. Bu yüzden NIST'in taslağı, geçiş takvimi belirlenirken anahtar paylaşımı (anahtar değişimi) yöntemleri için bu tehdidin dikkate alınmasını ister; kimlik doğrulamada kullanılan imza algoritmaları ise farklı bir takvimle değiştirilebilir.

NIST'in kuantum sonrası şifreleme standartları

NIST, 2016'da başlattığı ve dünyanın dört bir yanından algoritmaların değerlendirildiği süreç sonunda, 13 Ağustos 2024'te ilk üç standardı yayımladı:

• FIPS 203, ML-KEM: Anahtar paylaşma (anahtar kapsülleme) için ana standart. CRYSTALS-Kyber algoritmasına dayanır ve kafes (lattice) problemlerini kullanır.
• FIPS 204, ML-DSA: Dijital imzalar için ana standart; o da kafes tabanlıdır.
• FIPS 205, SLH-DSA: Yalnızca hash fonksiyonlarına dayanan, farklı matematik kullanan yedek imza standardı.

NIST, Falcon algoritmasına dayanan bir imza standardını da FN-DSA adıyla FIPS 206 olarak yayımlamayı planlıyor. 11 Mart 2025'te ise ML-KEM'in yedeği olarak HQC algoritmasını seçti. HQC, kafes yerine hata düzeltme kodlarına dayanır; böylece ML-KEM'de ileride bir zayıflık bulunursa farklı matematiğe dayanan bir seçenek hazır olacak. NIST'in açıklamasına göre HQC için taslak standart yaklaşık bir yıl içinde, nihai standart 2027'de bekleniyor.

NIST'in Kasım 2024'te yorumlara açtığı ve henüz taslak olan geçiş raporu (NIST IR 8547), 112 bitlik güvenlik düzeyindeki RSA ve eliptik eğri algoritmalarının 2030'dan sonra kullanımdan kaldırılmasını, kuantuma karşı savunmasız tüm bu algoritmaların ise 2035'ten sonra yasaklanmasını öneriyor. Bu tarihler bir öneridir ve nihai metinde değişebilir.

Geçiş şimdiden başladı: hibrit yaklaşım

Yeni algoritmalar klasik algoritmalar kadar uzun süre sınanmadığı için ilk aşamada genellikle hibrit yöntem kullanılır: klasik bir anahtar değişimi (ör. X25519) ile kuantum sonrası bir algoritma birlikte çalışır ve saldırganın ikisini birden kırması gerekir.

• Google Chrome, 131 sürümünden itibaren HTTPS bağlantılarında X25519 ile ML-KEM-768'i birleştiren hibrit anahtar değişimini destekliyor; daha önce standart öncesi Kyber sürümünü kullanıyordu. HTTPS'in nasıl çalıştığını SSL/TLS nedir? yazısında anlatıyoruz.
• Signal, Eylül 2023'te duyurduğu PQXDH protokolüyle X25519'u CRYSTALS-Kyber ile birleştirdi ve bunu açıkça "şimdi topla, sonra çöz" riskine karşı bir önlem olarak tanımladı.

Kuantum anahtar dağıtımı (QKD) ile farkı

"Kuantum şifreleme" denince çoğu zaman kuantum anahtar dağıtımı (QKD) kastedilir. QKD, anahtarı kuantum durumlarıyla (genellikle ışık parçacıklarıyla) iletir; fizik yasaları gereği hattı dinlemeye çalışan biri iz bırakır. Kuantum fiziğindeki bu belirsizliği kuantum mekaniğinde rastgelelik yazısında ele alıyoruz.

NIST, kuantum sonrası kriptografinin QKD ile karıştırılmaması gerektiğini vurgular: biri matematiğe dayanan yazılım, öbürü fiziğe dayanan donanımdır. İngiltere'nin siber güvenlik merkezi NCSC de QKD'nin kimlik doğrulama sağlamadığını, özel donanım gerektirdiğini ve yalnızca anahtar dağıtımı sorununun bir kısmını çözdüğünü belirterek devlet ve askeri kullanım için QKD'yi desteklemediğini, birincil çözüm olarak kuantum sonrası kriptografiye geçişi önerdiğini açıklar.

Gelecek teknolojiler: homomorfik şifreleme ve sıfır bilgi ispatı

Kuantum sonrası şifreleme dışında, gizliliği korumak için geliştirilen başka yeni teknikler de var. NIST bunları "gizliliği artıran kriptografi" başlığı altında izliyor.

Homomorfik şifreleme nedir?

Homomorfik şifreleme, şifreli veri üzerinde veriyi çözmeden hesap yapılmasını sağlar. Örneğin bir bulut hizmeti, şifreli sağlık verileriniz üzerinde bir analiz çalıştırıp sonucu yine şifreli olarak size geri verebilir; verinin kendisini hiç görmez. İlk tam homomorfik şifreleme şemasını Craig Gentry 2009'da tamamladığı doktora teziyle ortaya koydu. Teknik umut vericidir ama işlemler normal hesaplamaya göre çok daha yavaş olduğu için henüz sınırlı alanlarda kullanılır.

Sıfır bilgi ispatı (ZKP)

Sıfır bilgi ispatı, bir bilgiyi bildiğinizi o bilginin kendisini açıklamadan kanıtlamanızı sağlar. Kavram, Shafi Goldwasser, Silvio Micali ve Charles Rackoff'un 1985 tarihli makalesiyle ortaya çıktı; Goldwasser ve Micali bu alandaki çalışmalarıyla 2012 ACM Turing Ödülü'nü aldı. Örneğin bir sisteme, doğum tarihinizi göstermeden 18 yaşından büyük olduğunuzu kanıtlamak bu fikrin tipik bir uygulamasıdır.

Bu gelişmeler sizin için ne anlama geliyor?

• Tarayıcınızı, telefonunuzu ve uygulamalarınızı güncel tutun. Kuantum sonrası geçiş büyük ölçüde güncellemelerle, siz fark etmeden gerçekleşiyor.
• Şifrelerinizi değiştirmeniz gerekmez. Bugün hesaplarınıza yönelik gerçek tehdit kuantum bilgisayar değil; zayıf, tekrar kullanılan veya sızdırılmış şifrelerdir. Her hesap için uzun ve farklı bir şifre üretmek için şifre üreticiyi kullanın.
• "Kuantuma dayanıklı" pazarlamasına temkinli yaklaşın. Bir ürün bu iddiada bulunuyorsa, NIST'in ML-KEM veya ML-DSA gibi standart algoritmalarını kullanıp kullanmadığına bakın.
• Kurumlar için: Hangi sistemlerin RSA ve eliptik eğri kullandığını şimdiden listeleyin; uzun süre gizli kalması gereken verileri korurken önceliği anahtar değişiminin geçişine verin.