Kuantum bilişimin zaman çizelgesine bir kriptografi mühendisi gözüyle bakış

• Son araştırma sonuçları, kriptografik açıdan anlamlı kuantum bilgisayarın (CRQC) ortaya çıkma olasılığını birkaç yıl içine çekerek kuantuma dayanıklı kriptografinin (PQC) dağıtımı için aciliyeti keskin biçimde artırıyor
• Google ve Oratomic’in araştırmaları, 256 bit eliptik eğri saldırısı için gereken kaynakların azaldığını göstererek donanım ve algoritma verimliliğinde hızlı bir iyileşme eğilimini doğruluyor
• Uzmanlar 2029’u PQC geçişi için son tarih olarak gösteriyor ve artık “inkâr edilemez tehdit aşamasına” girildiği uyarısında bulunuyor
• Önerilen karşı önlemler arasında ML-DSA ve ML-KEM’in derhal benimsenmesi, PQ olmayan sistemlerin kademeli olarak devreden çıkarılması ve hibrit kimlik doğrulamanın dışlanması yer alıyor
• Sonuç olarak CRQC artık bir varsayım değil, somut bir risk ve 2029’dan önce tam PQC dönüşümü zorunlu

---

Kuantum bilişimin zaman çizelgesine bir kriptografi mühendisi gözüyle bakış

• Son dönemde kuantuma dayanıklı kriptografinin (PQC) dağıtımı için aciliyet keskin biçimde arttı
  • Daha sadece birkaç ay öncesine kadar zaman olduğu düşünülüyordu, ancak son araştırma sonuçlarıyla durum hızla değişti
  • Kriptografik açıdan anlamlı kuantum bilgisayarın (CRQC) birkaç yıl içinde ortaya çıkabileceğine dair işaretler belirdi

Yakın zamanda yayımlanan iki araştırma sonucu

• Google araştırma ekibi, 256 bit eliptik eğrileri (NIST P-256, secp256k1 vb.) kırmak için gereken mantıksal kübit ve kapı sayısını büyük ölçüde azaltan bir makale yayımladı
  • Süperiletken kübit tabanlı hızlı saat mimarisinde saldırının birkaç dakika içinde mümkün olabileceğine dair hesaplamalar sundu
  • Makale kripto para bağlamında yazılmış olsa da gerçekte WebPKI ortadaki adam saldırıları açısından çok daha ciddi anlam taşıyor
• Oratomic araştırma ekibi, yerel olmayan bağlantıya (non-local connectivity) sahip nötr atom sistemlerinde yalnızca 10 bin fiziksel kübit ile 256 bit eliptik eğrinin kırılabildiği bir senaryo sundu
  • Hız daha düşük olsa da, bir anahtar ayda bir kez bile kırılabiliyorsa bu yıkıcı sonuçlara yol açabilir
• Her iki araştırma da donanım performansındaki artış, algoritma verimliliğindeki iyileşme ve hata düzeltme gereksinimindeki azalma yönünde ortak bir eğilim gösteriyor

Uzmanların uyarıları ve zaman çizelgesindeki değişim

• Google’dan Heather Adkins ve Sophie Schmieg, “kuantum eşiği beklenenden çok daha yakın” diyerek 2029’u geçiş için son tarih olarak gösteriyor
  • Bu, yalnızca 33 ay kalmış bir takvim anlamına geliyor ve şimdiye kadar ortaya konan en agresif takvim
• Scott Aaronson, bunu “çekirdek fisyon araştırmalarının 1939~1940’ta kamuya açık biçimde durduğu dönem”e benzeterek kamuya açıklanmamış radikal ilerlemeler olasılığına dikkat çekiyor
• RWPQC 2026’da sunulan takvim bile yalnızca birkaç hafta içinde eski kaldı ve “kuantum bilgisayarlar hep 10 yıl uzakta” şakası artık geçerliliğini yitirdi
• Uzmanların ortak mesajı şu: “şu an inkâr edilemez tehdit aşamasındayız”

Risk algısı ve karşılık verme gereği

• Asıl soru “2030’da CRQC var olma ihtimali var mı?” değil, “2030’da CRQC olmayacağından emin miyiz?”
  • Kullanıcı güvenliğinden sorumlu olanlar açısından, olasılık %1’in altında olsa bile bunu görmezden gelmek mümkün değil
• “Henüz çok uzak” şeklindeki şüphecilik, uzmanlık eksikliğinin işareti olarak görülüyor
  • Scott Aaronson, “kuantum hata toleransını anladıktan sonra ‘35’i ne zaman çarpanlarına ayıracaksınız?’ diye sormak, 1943’te Manhattan Projesi fizikçilerine ‘küçük bir nükleer patlamayı ne zaman yapacaksınız?’ diye sormak gibidir” benzetmesini yapıyor
• Tahminler yanlış çıkabilir, ancak artık yanlış olma ihtimalinden çok doğru olma ihtimali daha önemli ve mevcut risk düzeyi kabul edilemez

Şimdi yapılması gerekenler

• Derhal dağıtım (Ship Now) gerekiyor
  • Mükemmel olmasa bile bugün kullanılabilir durumdaki PQC hemen devreye alınmalı
  • ML-DSA imzaları, mevcut ECDSA’nın yerine uygulanmalı ve WebPKI için Merkle Tree Certificates zaten yeterince ilerlemiş durumda
• Geçmişte “protokolleri imza boyutlarına uyarlamak için zaman var” diye düşünülüyordu, ancak 2029 son tarihi ile artık bu esneklik kalmadı

Anahtar değişimi ve kimlik doğrulama sistemlerinin dönüşümü

• ML-KEM tabanlı PQ anahtar değişimi sorunsuz ilerliyor, ancak şu adımlar gerekli
  1. PQ olmayan anahtar değişimi, derhal aktif saldırı riski olarak değerlendirilmeli ve OpenSSH’de olduğu gibi kullanıcıya uyarı verilmeli
  2. Etkileşimsiz anahtar değişiminden (NIKE) şimdilik vazgeçilmeli ve yalnızca KEM tabanlı tek yönlü kimlik doğrulama yöntemi kullanılmalı

• Yeni PQ olmayan kripto sistemlerinin dağıtımı yasaklanmalı

  • ECDSA, pairing, kimlik tabanlı kriptografi gibi yapılar artık pratik değil
  • Hibrit kimlik doğrulama (klasik + PQ) gereksiz ve bunun yerine saf ML-DSA-44’e geçilmeli
  • Hibrit imzalar karmaşıklık ve zaman kaybı yaratıyor; ayrıca ML-DSA’nın klasik yöntemlerle kırılma olasılığı, CRQC’nin ortaya çıkma olasılığından daha düşük
  • Ancak hâlihazırda çoklu imza yapısını destekleyen protokollerde istisnai olarak basit “2-of-2” hibrit imza mümkün olabilir

Simetrik şifreleme ve Grover algoritması

• Simetrik şifrelemede değişiklik gerekmiyor

  • Grover algoritmasına dair aşırı basitleştirme nedeniyle “256 bit anahtar gerekir” şeklinde bir yanlış anlama bulunuyor
  • Gerçekte 128 bit anahtar da yeterli ve Grover’ın sağladığı kuantum hızlanması paralelleştirilemez
  • Gereksiz 256 bit zorunluluğu, birlikte çalışabilirliği zedeleme ve PQC geçişini geciktirme riski taşıyor

Yazılım ve donanım ekosistemine etkisi

• Go standart kütüphanesinin yarıdan fazlası yakında güvensiz duruma gelebilir
  • Düşürme saldırıları ile geri uyumluluk arasındaki denge yeni bir zorluk olarak öne çıkıyor
  • SHA-1 → SHA-256 geçişinden çok daha büyük bir kargaşa bekleniyor

• TEE (güvenilir yürütme ortamı)— Intel SGX, AMD SEV-SNP vb. PQ anahtarlarını desteklemediği için güvenilir değil

  • Donanım düzeyindeki hız sınırlamaları nedeniyle PQ geçişi mümkün değil; bu yüzden yalnızca “derinlemesine savunma (defense in depth)” düzeyine indirgenmeleri gerekiyor

Kriptografik temelli ekosistemler ve dosya şifreleme

• Kripto temelli kimlik sistemleri**(ör. atproto, kripto paralar vb.)** için geçişe derhal başlanmalı

  • CRQC ortaya çıkmadan önce tamamlanamazsa kullanıcının zarar görmesi ile hesabın terk edilmesi arasında seçim yapılması gereken bir durum ortaya çıkabilir
  • Dosya şifreleme, “şimdi depola, sonra çöz (store-now-decrypt-later)” saldırılarına özellikle açık
  • PQ olmayan age alıcı türleri için uyarı ve engelleme işlevleri eklenmesi planlanıyor
  • PQ alıcıları ilk kez age 1.3.0 sürümünde sunuldu

Eğitim ve kuşaksal dönüşüm

• Bologna Üniversitesi’nin kriptografi doktora derslerinde, RSA, ECDSA, ECDH yalnızca eski algoritmalar olarak ele alınıyor
  • Öğrenciler bunlarla gerçek kariyerlerinde “geçmişin teknolojileri” olarak karşılaşacak
  • Bu durum, PQC geçişinin kuşaksal bir dönüm noktası olduğunu simgeliyor

Sponsorluk ve açık kaynak bakımı

• Geomys, Go ekosisteminde uzmanlaşmış bir bakım kuruluşu olarak Ava Labs, Teleport, Tailscale ve Sentry desteğiyle faaliyet gösteriyor
  • Bu kuruluşlar, açık kaynak kriptografik protokollerin sürdürülebilir biçimde korunmasını ve güvenliğinin sağlanmasını destekliyor
  • Teleport, kullanıcı hesabı ele geçirme ve oltalama saldırılarına karşı erişim kontrolünün güçlendirilmesini; Ava Labs ise blokzincir kriptografik protokollerinin uzun vadeli güvenilirliğinin korunmasını vurguluyor

Sonuç

• CRQC’nin ortaya çıkma ihtimali artık bir varsayım değil, somut bir risk
• 2029’dan önce tam bir PQC dönüşümü zorunlu
• ML-KEM ve ML-DSA derhal dağıtıma alınmalı, PQ olmayan sistemler ise kademeli olarak devreden çıkarılmalı
• Hem kriptografi uygulayıcıları hem de karar vericiler için şimdi harekete geçme zamanı

[GN⁺]

Hacker News görüşleri

• Kuantum bilgisayarların pratik kullanıma yaklaşması durumunda, FIPS 203 (ML-KEM) öncelikle TLS veya SSH gibi protokollerde oturum anahtarı değişimi için uygulanmalı
  ML-KEM, mevcut Diffie-Hellman'ın (klasik ve eliptik eğri tabanlı) yerini alacak
  Bu kullanılmazsa, saldırganlar veriyi bugün saklayıp daha sonra çözebilir
  Buna karşılık sertifikalar veya elektronik imzalar geçmişe dönük olarak sahte üretilemeyeceği için aciliyeti daha düşük
  Ancak hukuki geçerliliği olan dijital belgeler gibi sahteciliğin anlamlı olduğu durumlarda, gelecekte de güvenli imza yöntemleri gerekir
  OpenSSH, OpenSSL gibi başlıca kütüphaneler zaten ML-KEM desteği sunduğundan, kimlik doğrulama yapısını değiştirmeden kişisel sunucu düzeyinde kolayca uygulanabilir

  • Geçen yıla kadar ben de aynı görüşteydim ve bu sektördeki ortak uzlaşıydı
    Ancak takvim 2035 değil 2029'a çekilebilir; bu yüzden kimlik doğrulama altyapısının dönüşümünü de aynı anda başlatmak gereken bir noktadayız
    ML-KEM dağıtımı zaten iyi ilerliyor, ama artık kuantuma dayanıklı olmayan anahtar değişimini potansiyel risk olarak görmeliyiz
    Yani 3 yıldan uzun süre saklanan veri varsa bunu uyarı seviyesinde ele almak gerekir
  • Önemli olan mevcut Diffie-Hellman'ı tamamen değiştirmek değil, hibrit anahtar değişimi ile birlikte kullanmak
    Böylece saldırının başarılı olması için hem klasik kriptografinin hem de kuantuma dayanıklı kriptografinin kırılması gerekir
    ML-KEM de yeni bir algoritma olduğu için kırılma riski taşıyor; bu nedenle hibrit yaklaşım pratik bir savunma yöntemi
    Dan Bernstein (djb) gibi uzmanlar da hibrit olmayan yaklaşımın sorumsuz bir tercih olduğunu özellikle vurguluyor
  • Aslında hukuki belgeler veya kriptografik zaman damgaları zaten RSA ya da EC tabanlı olarak imzalanıyor
    Bu tür durumlarda, gelecekte sahteciliği önlemek için kuantuma dayanıklı imzalara geçmek gerekir

• Bu tartışma biraz doğrusal olmayan bir gelişim gibi geliyor
  RSA örneğinde zorluk 8 bit, 64 bit, 256 bit diye kademeli arttı; ama kuantum bilgisayarlarda son 10 yılda RSA veya EC'ye karşı hiçbir ilerleme olmadı
  Buna rağmen birden birkaç yıl içinde tüm açık anahtarlı kriptografiyi kırabilecek denmesi garip
  En azından laboratuvar ortamında RSA-256'nın kırıldığını görmeden kesin sonuca varmak zor

  • Bas Westerbaan'ın yazısı ve Scott Aaronson'ın yorumu incelendiğinde, asıl nokta hata düzeltme (error correction)
    Bu mümkün olduğu anda, 32 bit RSA'dan 2048 bit RSA'ya geçiş çok büyük bir fark yaratmıyor
    Tıpkı nükleer zincirleme reaksiyon kendi kendine sürdürülebilir hale geldiğinde bombanın boyutunu büyütmenin artık çok zor olmaması gibi
    Uzmanların takvimin hızlanabileceğini söylemesinin nedeni bu
  • Gerçekten de son 10 yılda kapı doğruluğu ve kübit sayısı onlarca kat arttı, hata düzeltme verimliliği de hızla iyileşti
    Son 4 yıldaki ilerleme bu alanda patlayıcı düzeydeydi
  • Bu yazının ana fikri, açık anahtarlı değişimin risk altında olduğu; sonrasındaki simetrik şifrelemenin kendisinin risk altında olduğu değil
  • Bu arada şu ana kadar kuantum bilgisayarla çarpanlarına ayrılan en büyük sayı 21

• Bence iyi bir yazı
  HPKE hibrit alıcı standardizasyonunun CFRG'deki gecikme yüzünden 2 yıl sürmüş olması dikkat çekici
  IETF'nin bu tür süreç sorunlarını kendi içinde gözden geçirmesi gerekir

  • Yazıdaki hibrit karşıtı mantığın yanlış olduğunu düşünüyorum
    CRQC bugün var olsa bile, hibrit algoritmalar saldırı maliyetini en az 1 milyon dolar seviyesine çıkarır
    PQC üçüncü tur adaylarından bazılarının dizüstü bilgisayarda bile kırılabildiği düşünülürse, bunun çok daha iyi olduğu açık
  • Son CRFG toplantısında seni görememek üzücüydü

• Bu yazı sayesinde “kuantum bilgisayarlar hâlâ çok uzakta ve RSA güvende” yönündeki görüşüm biraz değişti
  Şüpheci olanların da anlayabileceği şekilde riski gerçekçi biçimde açıklaman için teşekkürler

  • Özellikle Scott Aaronson'ın sözü çok etkileyiciydi
    “Kuantum hata toleransını anladığınızda, ‘35'i ne zaman çarpanlarına ayıracaksınız?’ diye sormak, 1943'te Manhattan Projesi bilim insanlarına ‘küçük bir nükleer patlamayı ne zaman yapacaksınız?’ diye sormaya benzer” benzetmesi düşüncemi tamamen değiştirdi

• Hibrit anahtarlardan vazgeçme önerisi riskli
  Yeni algoritmalar henüz gerçek dünya kullanımında yeterince sınanmadığı için, tek bir basit kusur bile büyük çaplı zarara yol açabilir

• Kuantum hesaplama, LLM eğitiminin hızlandırılmasında da kullanılabilir; bu yüzden Google'ın buraya yatırım yapması akıllıca
  Google ve SoftBank geçen yıl 230 milyon dolar yatırım yaptı; Microsoft, IBM ve Google da son 20 yılda toplam 15 milyar dolar harcadı
  Ancak Google'ın yıllık veri merkezi yatırımının 150 milyar dolar olduğu düşünülürse, bu pratik kullanıma hâlâ uzak olunduğunun işareti de olabilir

• Şifreleri kıracak bir süper bilgisayarı devletlerin geliştiriyor olması gayet mümkün
  Manhattan Projesi'nde olduğu gibi, ilkeler zaten biliniyor ve geriye yalnızca mühendislik sorunları kalmış durumda
  Devletler para toplamayı iyi bildiğinden, bunun gerçekten yürütülüyor olması mümkün

  • O dönemde uranyum tipi bomba (Little Boy), test yapılmadan bile başarılı olacağına güvenilecek kadar basit bir yapıdaydı
    Buna karşılık plütonyum tipi (Fat Man) çok daha karmaşıktı ama daha verimliydi ve nükleer füze teknolojisinin temelini oluşturdu
    Little Boy ve Fat Man tasarımları bugün bile ilgi çekici
  • Kuantum bilgisayar, nihai zero-day gibi
    Hemen kullanılmayıp belirleyici an için elde tutulan bir teknoloji
  • Devletlerin gizlice teknoloji geliştirmediğine inanmanın zor olduğunu düşünüyorum
    Örneğin XKeyscore gibi örnekler zaten vardı
  • Yine de Manhattan Projesi, ABD nüfusunun kayda değer bir bölümünün dahil olduğu devasa bir sanayi projesiydi
    O ölçekte bir seferberliği bir daha görmek zor olur

• Bu yazıyı okuyunca simetrik şifrelemenin önemini yeniden hissettim
  PQE tamamen yerleşene kadar, bazı kritik sistemler önceden paylaşılan anahtar (PSK) tabanlı simetrik şifreleme ile desteklenebilir
  Örneğin WireGuard VPN'i PSK ile çalıştırırsanız anahtarları elle dağıtmanız gerekir, ama toplanmış trafik anlamsız hale gelir
  Bu yaklaşım ölçeklenebilir değildir ama hemen uygulanabilecek gerçekçi bir güvenlik katmanı olabilir
  Sonuçta en iyi çözüm PQE, ancak yeni matematik ve sistemler henüz yeterince doğrulanmadığı için paralel hazırlık gerekli

• Yazarın neden AES-128 konusunda ısrarcı olduğunu anlamıyorum
  AES-256'nın maliyet farkı neredeyse yok ve şimdi topla, sonra çöz (store-now-decrypt-later) saldırılarına karşı da daha güvenli
  Sektör standardı 256 bit anahtarları öneriyor, dolayısıyla buna uymak yeterli
  Age gibi araçlar da varsayılan olarak 256 bit dosya anahtarı kullanmalı

  • Ancak NIST ve BSI, AES-128, 196 ve 256'nın tamamının kuantum sonrası dönemde de güvenli olduğunu açıkça belirtiyor
    AES-128'in yeterli olduğu sektördeki genel uzlaşı
    CRQC'nin simetrik şifrelemeyi tehdit ettiği bir senaryo yok
  • Yazar, AES-128'in şu anda risk altında olmadığını açıkça söylüyor
    256'ya zorunlu geçiş dayatmak, asıl gerçekten önemli geçiş işlerinden dikkati dağıtabilir

• Kuantum hesaplama dolanıklık (entanglement) temeline dayandığı için ışıktan hızlı bir etki yaratıyormuş gibi görünse de, aslında fizik yasalarını ihlal etmez
  Bu yüzden bunu bilimkurgu gibi değil, son derece zor bir mühendislik meydan okuması olarak görmek daha doğru