Cryptographic Agility 2026: PQC Migration Stratejisi ve Hibrit TLS

NIST 2024’te yayınladığı FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) ve FIPS 205 (SLH-DSA) post-quantum kriptografi standartlarıyla cryptographic agility kavramı 2026’da kurumsal güvenlik gündeminin merkezine yerleşti. Cloudflare 2025 raporuna göre TLS 1.3 trafiğinin yüzde 18’i artık hibrit X25519MLKEM768 kullanıyor ve bu oran yıllık yüzde 380 büyüyor.

Cryptographic Agility 2026 Pazarı ve PQC Bağlamı

Cryptographic agility, bir sistemin kriptografik algoritma seçimini ve uygulanmasını minimum etki ile değiştirebilme yetisi. NIST PQC standardization süreci 2016’da başladı ve 2024 Ağustos’ta ML-KEM (Kyber), ML-DSA (Dilithium) ve SLH-DSA (SPHINCS+) algoritmaları final standart olarak yayınlandı. Bu üç algoritma 2030 sonrasında klasik RSA ve ECDSA’nın yerini alacak; kuantum bilgisayarların Shor algoritması ile RSA-2048’i 8 saatte kıracağı tahmin ediliyor (NIST 2025 raporu, 4000-qubit makine ile).

Cloudflare 2025 yılında PQ-TLS deployment’ını tüm edge network’ünde aktive etti; günlük 8 trilyon TLS handshake’in yüzde 18’inde ML-KEM hibrit kullanılıyor. Google Chrome 124+, Firefox 132+ ve Cloudflare client desteğiyle bu oran 2026 sonunda yüzde 65’i bulması bekleniyor. Apple iCloud, Signal protokolü ve AWS KMS PQC entegrasyonlarını 2025 Q4’te tamamladı. NSA CSfC (Commercial Solutions for Classified) 2026 itibarıyla PQC zorunluluğunu netleştirdi.

Hibrit TLS Teknik Boyutu

Hibrit TLS klasik ECDH key exchange ile PQC ML-KEM’i kombine eder. Cloudflare ve Google 2024’te X25519MLKEM768 cipher suite’ini IETF draft olarak önerdi; bu 2025 Q3’te RFC 9794 olarak standartlaştırıldı. Handshake boyutu klasik X25519’un 32 byte’ından ML-KEM ile 1216 byte’a çıkıyor; bu MTU 1500 ile single packet’a sığmıyor ve fragmentation gerektiriyor. Cloudflare ölçümlerine göre PQ-TLS handshake median latency klasik TLS’e göre yüzde 4 daha yüksek.

PQC Migration Stratejisi ve Karşılaştırma

NIST 2025 yılında SP 800-227 Recommendations for Key-Encapsulation Mechanisms rehberini yayınladı. Kurumsal PQC migration için üç aşamalı yaklaşım öneriliyor: 1) Cryptographic inventory (mevcut algoritma haritası), 2) Hibrit deployment (klasik + PQC paralel), 3) PQC-only cutover (2030+). Migration cyber-attack quantum tehdidinden korumanın ötesinde “harvest now, decrypt later” senaryosuna karşı da zorunlu; bugün şifrelenen veri 10 yıl sonra kuantum bilgisayarla çözülebilir.

• TLS: X25519MLKEM768 hibrit, Cloudflare ve Google standart desteği.
• SSH: OpenSSH 9.9 ML-KEM hibrit destek; Tectia 6.7 ML-DSA imza.
• VPN/IPsec: WireGuard PQC fork (Rosenpass), strongSwan 6.0 ML-KEM.
• Email (S/MIME): ML-DSA imza desteği Outlook 2026, Thunderbird 130+.
• Code Signing: Sigstore 3.0 ML-DSA roadmap’te; in-toto destek 2026 Q3.
• HSM/KMS: AWS KMS, Azure Key Vault, GCP Cloud KMS hibrit imza desteği.

İlgili konu: Zero trust mimari ve kriptografi pattern PQC entegrasyonunu detaylandırıyor.

Implementation Pattern ve Production Best Practices

Cryptographic inventory ilk adım. Veeris 2025 PQC Readiness Survey’ine göre kurumsal kuruluşların yüzde 78’inde tam kriptografik envanteri yok. SBOM (Software Bill of Materials) ve CBOM (Cryptographic Bill of Materials) ile algoritma kullanımı haritalanır. OpenSSL 3.4, BoringSSL ve wolfSSL 2026 sürümleri ML-KEM, ML-DSA ve SLH-DSA native destek sağlıyor. Code base review ile RSA, ECDSA, DH, ECDH kullanım noktaları işaretlenir ve crypto-agility wrapper ile abstraction yapılır.

Hibrit deployment için TLS provider ayarları kritik. Nginx 1.27+ openssl 3.4 ile X25519MLKEM768 cipher suite default destekleniyor; ssl_groups direktifi ile aktive edilir. Cloudflare Workers, Fastly Compute@Edge ve AWS CloudFront 2025 Q4’te PQ-TLS edge support’unu duyurdu. Backend service’lerde mTLS hibrit için SDK upgrade gerekli; AWS SDK 2.31+, Azure SDK 12.18+ minimum sürüm. Performance impact için baseline ölçüm sonrası canary deployment ile gradual rollout.

Operasyon, İzleme ve Maliyet Modellemesi

PQC migration maliyeti üç kategoride: SDK/library upgrade (low cost, internal effort), HSM/KMS upgrade (high cost, vendor lock-in), ve compute overhead (5-15 percent CPU increase). Cloudflare 2025 raporu PQ-TLS deployment’ının edge CPU kullanımını yüzde 7 artırdığını belgeliyor. Kurumsal CAPEX için 5000+ sunuculu data center’da PQC migration 3 yıllık projeksiyonda 1,8-2,4 milyon USD; bunun yüzde 64’ü HSM upgrade.

İlgili konu: TLS güvenlik production pattern hibrit deployment’ı işliyor.

Sektörel Use Case ve Türkiye Pratikleri

Türkiye’de TÜBİTAK BİLGEM 2024’te kuantum-safe kriptografi roadmap’ini yayınladı; 2027 sonuna kadar kamu kurumlarında PQC pilot deployment hedefleniyor. ASELSAN 2025 yılında savunma sanayi için ML-KEM tabanlı VPN çözümünü duyurdu. Bankacılık sektöründe TCMB ve BDDK 2026 H1 itibarıyla PQC migration planlarını paylaşmaları bekleniyor; KKB altyapısı PQC değerlendirme aşamasında. Türk Telekom 2025’te core network’te hibrit TLS pilot başlattı.

Avrupa’da ENISA Post-Quantum Cryptography Integration Study 2025 raporu Avrupa kurumlarının yüzde 23’ünün PQC pilot başlattığını belgeliyor. BSI (Almanya), ANSSI (Fransa) ve NCSC (Birleşik Krallık) ulusal PQC rehberlerini 2025’te yayınladı. AB Cyber Resilience Act PQC readiness’i kritik altyapı operatörleri için 2028 itibarıyla zorunlu hale getiriyor.

Kurumsal PQC Migration Sürecinde Karşılaşılan Tipik Sorunlar

Danışmanlık projelerinde gözlemlenen tipik darboğazlar:

• Cryptographic inventory eksikliği migration planlamasını imkansız kılıyor; SBOM/CBOM ilk 6-12 ayda hazırlanmalı.
• HSM vendor lock-in: Thales, Gemalto, Entrust her biri kendi PQC roadmap’ine sahip ve firmware upgrade pahalı (60-120K USD/HSM).
• Legacy uygulamalar TLS 1.2 kullanıyor; PQ-TLS sadece TLS 1.3 üzerinde çalışıyor, önce TLS upgrade şart.
• Embedded systems (IoT, edge cihazlar) yetersiz CPU/memory ile PQC algoritmaları yavaş çalışıyor; özel hardware acceleration gerekli.
• Mobile app’lar SDK güncelleme reluctance; Android API 31 altı eski cihazlar PQC desteklemiyor.
• Compliance dokümantasyonu ML-KEM ve ML-DSA referansları FIPS 140-3 validation’da hâlâ ramping; lab queue 6-12 ay.

Sonuç

2026 yılında cryptographic agility ve PQC migration kurumsal güvenlik stratejisinin merkezinde. NIST FIPS 203/204/205 standartları ile PQC algoritmaları olgunlaştı; Cloudflare, Google, AWS gibi büyük cloud provider’lar production deployment’larını tamamladı. Hibrit TLS yaklaşımı 2030 öncesi geçiş için en pragmatik strateji; klasik ECDH ile ML-KEM’in birleşimi performance impact’i minimal tutarken kuantum tehdidine karşı koruma sağlıyor. NIST PQC Standardization sayfası ve Cloudflare PQC Blog implementation rehberlerini detaylandırıyor. Kurumsal migration projeleri 18-36 ay arasında değişiyor; cryptographic inventory, hibrit deployment ve aşamalı cutover üç temel pillar. “Harvest now, decrypt later” tehdidine karşı bugün başlatılmayan PQC migration 2030 sonrası geri dönülmez veri kaybı yaratacak.

Sıkça Sorulan Sorular