Kuantum Sonrası Kriptografi: CRYSTALS-Kyber ve Dilithium

Günümüzdeki açık anahtarlı kriptografi — RSA, ECC ve Diffie-Hellman — klasik bilgisayarlar için hesaplama açısından uygulanamaz olan matematiksel problemlere dayanır. RSA'nın güvenliği, büyük tam sayıları çarpanlarına ayırmanın zorluğuna; ECC'nin güvenliği ise eliptik eğri ayrık logaritma problemine dayanır. Shor algoritmasını çalıştıran yeterince güçlü bir kuantum bilgisayarı, her iki problemi de polinom zamanda çözebilir ve yaygın olarak kullanılan tüm açık anahtarlı kriptografi sistemlerini fiilen kırabilir. Günümüzde böyle bir kuantum bilgisayarı bulunmasa da tehdit, NIST'in kuantuma dayanıklı alternatifleri 2016'da standartlaştırmaya başlamasını sağlayacak kadar ciddi kabul edilmektedir.

Ulus devlet destekli saldırganlar, kuantum bilgisayarları kullanılabilir hâle geldiğinde şifrelerini çözmek amacıyla bugün şifrelenmiş internet trafiğini topluyor olabilir — bu strateji 'şimdi topla, sonra şifreyi çöz' veya SNDL (Store Now, Decrypt Later) olarak adlandırılır. Uzun vadede hassas olan veriler (gizli devlet sırları, mali kayıtlar, tıbbi veriler), kuantum bilgisayarlar ortaya çıktığında da hassas olabileceği için özellikle risk altındadır. Bu nedenle kuruluşların kuantum bilgisayarları ortaya çıkmadan önce, sonra değil, kuantum sonrası kriptografiye (PQC) geçmesi önerilir; çünkü geçiş karmaşık ve zaman alıcıdır.

Kuantum tehdidini farklı algoritma sınıfları açısından ayırt etmek önemlidir. Shor algoritması, RSA ve ECC asimetrik kriptografisini kırar. Grover algoritması, arama işlemlerinde ikinci dereceden hızlanma sağlar; bu da simetrik şifrelerin ve özet işlevlerinin etkin anahtar uzunluğunu yarıya indirir. Bu, AES-128'in kuantum saldırganına karşı yalnızca 64 bit güvenlik sağladığı — yani yetersiz olduğu — anlamına gelirken AES-256, 128 bit kuantum sonrası güvenliği korur ve bu kabul edilebilir bir düzeydir. SHA-256'nın güvenliği de benzer şekilde yarıya iner, ancak SHA-256 yine de yeterlidir; daha uzun vadeli güvenlik için SHA-384 ve SHA-512 önerilir.

NIST, 2016'da kuantum sonrası kriptografik algoritmaları seçmek için bir yarışma başlattı ve 82 başvuru aldı. Birden çok değerlendirme turunun ardından NIST, ilk PQC standartları kümesini 2024'te kesinleştirdi: anahtar kapsülleme için FIPS 203 (ML-KEM, CRYSTALS-Kyber'dan), dijital imzalar için FIPS 204 (ML-DSA, CRYSTALS-Dilithium'dan) ve özet tabanlı bir imza alternatifi olarak FIPS 205 (SLH-DSA, SPHINCS+'tan). Bu algoritmalar hem klasik hem de kuantum bilgisayarlardan gelen saldırılara dayanıklıdır ve PKI sistemlerinde RSA ile ECDSA'nın yerini almaları amaçlanmaktadır.

Hem CRYSTALS-Kyber hem de CRYSTALS-Dilithium, örgü tabanlı kriptografik şemalardır. Örgü, yüksek boyutlu uzayda düzenli bir nokta ızgarasıdır. Her iki algoritmanın temelindeki zor problem, Hatalarla Öğrenme (LWE) problemidir: küçük rastgele hatalar eklenmiş bir dizi doğrusal denklem verildiğinde, temel gizli değeri bulmak. LWE'yi verimli bir şekilde çözen bilinen bir kuantum algoritması yoktur. CRYSTALS'ta kullanılan Module-LWE (MLWE) çeşidi, güvenlik düzeyi ile anahtar/şifreli metin boyutu arasında iyi bir denge sağlar.

CRYSTALS-Kyber (şimdi ML-KEM), bir Anahtar Kapsülleme Mekanizmasıdır (KEM) — iki tarafın güvenli olmayan bir kanal üzerinden ortak bir gizli anahtar oluşturmasını sağlar ve Diffie-Hellman ile RSA anahtar değişiminin yerini alır. Kyber, bir açık/gizli anahtar çifti oluşturur; gönderen, alıcının açık anahtarını kullanarak rastgele bir oturum anahtarını kapsüller; alıcı ise bu anahtarı gizli anahtarını kullanarak kapsülden çıkarır. Kyber-768 (NIST güvenlik düzeyi 3, yaklaşık olarak AES-192'ye eşdeğer), yaklaşık 1.184 baytlık bir açık anahtara ve yaklaşık 1.088 baytlık bir şifreli metne sahiptir — bu, 256 baytlık RSA-2048 anahtarından çok daha büyüktür.

CRYSTALS-Dilithium (şimdi ML-DSA), ECDSA ve RSA imzalarının yerini alan bir dijital imza algoritmasıdır. Örgü matematiğini kullanarak imzalar üretir ve doğrulama işlemi verimlidir. Dilithium3 (güvenlik düzeyi 3), yaklaşık 3.293 baytlık imzalar üretir — bu, 64 baytlık bir ECDSA imzasından önemli ölçüde büyüktür. Bu boyut artışı, sertifikaların yoğun olarak kullanıldığı PKI sistemleri için başlıca geçiş zorluğudur. Boyutuna rağmen Dilithium, standart donanımda hızlı şekilde imzalar ve doğrular ve bilinen tüm kuantum saldırılarına karşı dayanıklıdır.

SPHINCS+ (şimdi SLH-DSA), NIST tarafından Dilithium'a alternatif olarak seçilen durum bilgisi tutmayan bir özet tabanlı imza şemasıdır. Güvenliği yalnızca temelindeki özet işlevinin (SHA-256 veya SHAKE) güvenliğine dayanır; bu da onu son derece ihtiyatlı bir seçenek hâline getirir — örgü matematiği bir şekilde kırılırsa SPHINCS+ güvenli kalır. Bunun karşılığında imza boyutu büyüktür: SPHINCS+ imzaları, parametre kümesine bağlı olarak 8 KB ile 50 KB arasında değişir; bu nedenle TLS sertifikaları için uygun değildir, ancak imza boyutunun daha az kritik olduğu kod imzalama işlemleri için mükemmeldir.

Önerilen geçiş stratejisi hibrit kriptografidir: bağlantının, algoritmalardan biri kırılmadığı sürece güvenli kalması için klasik bir algoritmayı kuantum sonrası bir algoritmayla birleştirmek. Örneğin anahtar değişimi için X25519 + Kyber-768 kullanılması, saldırganın trafiğin şifresini çözmek için hem ECDH'yi hem de Kyber'ı kırmasını gerektirir. Bu yaklaşım hâlihazırda uygulanmaktadır: Google'ın Chrome tarayıcısı, 2023'te TLS 1.3 için X25519Kyber768 hibrit anahtar değişimini desteklemeye başladı ve Apple bunu iMessage'a ekledi. Hibrit yaklaşım, ani ve tek seferlik bir geçiş gerektirmeden sorunsuz bir geçiş sağlar.

PKI'yi kuantum sonrası algoritmalara geçirmek büyük bir karmaşıklık içerir: sertifika boyutları önemli ölçüde büyür ve bu durum TLS el sıkışmalarının boyutunu ve performansını etkiler; donanım güvenlik modülleri (HSM'ler) yeni algoritmaları desteklemek için güncellenmeli veya değiştirilmelidir; kod imzalama altyapısının ve sertifika yetkililerinin güncellenmesi gerekir; kısıtlı belleğe sahip IoT cihazları ise daha büyük kuantum sonrası anahtarları desteklemeyebilir. Kuruluşlar, PQC geçiş planlarının ilk adımı olarak kriptografik envanter oluşturmaya — RSA ve ECC'nin kullanıldığı tüm yerleri kataloglamaya — başlamalıdır.

Kripto çevikliği, kriptografik algoritmaların sistemin baştan sona yeniden tasarlanmasını gerektirmeden değiştirilebilmesi için sistemleri tasarlamayı ifade eder. Kripto çevikliğine sahip sistemler, algoritma tanımlayıcılarını anahtarların ve şifreli metinlerin yanında depolar; böylece gelecekteki yükseltmeler bir yapılandırma parametresi değiştirilerek yapılabilir. TLS, SSH ve modern sertifika standartları kripto çevikliğini şimdiden göstermektedir. Kuruluşlar, sabit kodlanmış algoritma seçimleri açısından kendi protokollerini ve uygulamalarını denetlemelidir — geçiş maliyeti en yüksek olacak sistemler bunlardır. Şimdi bir kriptografik kitaplık soyutlama katmanı benimsemek, PQC geçişini kat kat kolaylaştırır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Shor algoritması RSA ve ECC'yi tehdit ederken Grover algoritması simetrik anahtar güvenliğini yalnızca yarıya indirir; bu nedenle AES-256 ve SHA-384 kuantum sonrası dönemde hâlâ kullanılabilir durumdadır. CRYSTALS-Kyber (ML-KEM) anahtar değişiminin, CRYSTALS-Dilithium (ML-DSA) ise NIST'in seçtiği kuantum sonrası standartlar olarak dijital imzaların yerini alır. Ayrıca klasik ve PQC algoritmalarını birleştiren hibrit kriptografi, geçiş devam ederken önerilen geçiş stratejisidir. Sırada bulut tabanlı yerel ortamlar için kapsayıcı güvenliğini inceliyoruz.