2026 NIST Standartları Sonrası Kurumsal Ağlarda Post-Kuantum Kriptografi (PQC) ve Hibrit TLS 1.3 Geçişi Nasıl Yapılmalıdır?

Post-Kuantum Kriptografi (PQC) ve Hibrit TLS 1.3 Geçiş Rehberi (2026 Standartları)

2026 yılı itibarıyla NIST FIPS 203 (ML-KEM / Kyber), FIPS 204 (ML-DSA / Dilithium) ve FIPS 205 (SLH-DSA / SPHINCS+) standartlarının resmileşmesiyle birlikte, "Harvest Now, Decrypt Later" tehdidine karşı hibrit şifreleme kurumsal ağların standardı haline gelmiştir.

1. Hibrit Anahtar Değişimi Mimarisi (X25519 + ML-KEM-768)

• Geçiş Prensibi: Hem klasik eliptik eğri (X25519) hem de kuantum dayanıklı kafes tabanlı (ML-KEM-768) anahtar değişimini birleştiren X25519MLKEM768 kombinasyonu tercih edilmelidir. Bu sayede yeni algoritmalarda olası bir matematiksel zaafiyet çıksa dahi klasik X25519 koruması devrede kalır.
• TLS 1.3 Cipher Suite Yapılandırması: OpenSSL 3.3+ ve güncel TLS sonlandırıcılarda (NGINX, Envoy, HAProxy) ssl_ecdh_curve X25519MLKEM768:x25519:secp384r1; direktifiyle PQC öncelikli hale getirilebilir.

2. Paket Boyutları, Fragmantasyon ve MTU Yönetimi

ML-KEM açık anahtar ve şifreli metin boyutları klasik ECC'ye kıyasla yaklaşık 800 - 1.200 bayt civarındadır. Bu durum TLS ClientHello ve ServerHello paketlerinin büyümesine yol açar:

• TCP Segmentasyonu: Initial congestion window (initcwnd) değerinin modern çekirdeklerde 10 veya 20 MSS olduğundan emin olun.
• IPsec / IKEv2 Uyarlaması: IKEv2 PQC geçişinde (RFC 9370 - Multiple Key Exchanges) IKE_INTERMEDIATE mesajları kullanılır. Paket fragmantasyonunu engellemek için tünel arayüzlerinde TCP MSS Clamping (ip mtu 1400 / ip tcp adjust-mss 1360) kuralı uygulanmalıdır.

3. Donanım ve Hızlandırma Desteği

2026 nesli SmartNIC ve DPU kartları (örneğin NVIDIA BlueField-3 veya Intel IPU) ML-KEM vektör işlemlerini AVX-512 ve ARM Neon yönergeleriyle donanım seviyesinde hızlandırabilmektedir. CPU darboğazını önlemek için yüksek trafikli kenar yönlendiricilerde DPU offload aktif edilmelidir.

Biz şirket içindeki Kubernetes ingress controller'larında Envoy 1.32 üzerinde X25519MLKEM768 denedik. Handshake sürelerinde yerel ağda fark edilen artış sadece 1.2 - 2 ms civarında kaldı, bu da üretim ortamı için fazlasıyla kabul edilebilir. Ancak Cloudflare ve AWS ALB arkasında çalışırken PQC desteğini ilgili CDN panellerinden de eşzamanlı aktif etmeniz gerekiyor.