Post-Quantum Cryptography (PQC) Dönemine Hazır mıyız? RHEL ile Geleceğin Güvenliğine Bakış!

25.08.2026

Fahrettin Çanlı

Post-Quantum Cryptography (PQC) nedir? Kuantum bilgisayarların siber güvenliğe etkisini ve RHEL ile kuantum sonrası güvenliğe nasıl hazırlanabileceğinizi keşfedin.

Son dönemde siber güvenlik dünyasında sürekli yeni başlıklar konuşuyoruz. Fidye yazılımları, yapay zekâ destekli saldırılar ve sıfır gün açıkları derken şimdi de kritik bir konu gündemde: kuantum bilgisayarlar ve Post-Quantum Cryptography (PQC).

Peki kuantum bilgisayarların bizim günlük IT operasyonlarımız, kurumsal siber güvenlik ve kriptografi altyapımızla ne ilgisi var?

Bugün internette yaptığımız güvenli bağlantıların, kullandığımız sertifikaların, VPN'lerin, SSH erişimlerinin ve birçok uygulamanın arkasında kriptografik algoritmalar var. RSA, AES ve SHA gibi algoritmalar bunların en bilinenleri.

Bugünün bilgisayarlarıyla bu algoritmaları kırmak pratikte imkânsız ama yeterince güçlü kuantum bilgisayarların ortaya çıkmasıyla birlikte işler değişecek gibi görünüyor.

İşte tam burada Post-Quantum Cryptography (PQC), yani kuantum sonrası kriptografi konusu devreye giriyor.

“Kuantum bilgisayarlar daha ortada yok, neden şimdiden düşünelim?”

Bence konunun en ilginç tarafı da tam olarak burası.

Kuantum bilgisayarların mevcut şifreleme sistemlerini gerçekten tehdit edecek seviyeye ne zaman geleceğini kesin olarak bilemiyoruz. Belki birkaç yıl, belki daha uzun. Söylentiler, 2030 yılından sonra kuantum bilgisayarların tehdit oluşturmaya başlayacağını işaret ediyor

Ama güvenlik dünyasında şöyle kritik bir kavram var:

Harvest Now, Decrypt Later. Türkçeye kabaca çevirirsek “Şimdi topla, sonra çöz.”

Bir saldırgan bugün şifreli bir trafiği ele geçirip saklayabilir. Bugün bu veriyi çözemiyor olması çok önemli değil. İleride yeterince güçlü kuantum bilgisayarlara erişebilirse geçmişte topladığı verileri çözmeyi mutlaka deneyecektir.

Bir gün yapay zekada yaşadığımız gibi bir kırılma yaşayabiliriz ve bir anda kuantum bilgisayarlar hayatımıza entegre olabilir.

Bugün gönderdiğiniz bir verinin 5-10 yıldan fazla gizli kalması gerekiyorsa, aslında yalnızca bugünün saldırı yöntemlerine karşı değil, geleceğin teknolojilerine karşı da korunması gerekiyor.

Bu yüzden Post-Quantum Cryptography kulağa biraz bilim kurgu gibi gelse de aslında güncel ve stratejik bir siber güvenlik problemi.

Post-Quantum Cryptography için çözüm ne?

Tabii ki mevcut şifreleme yöntemlerimizi yarın sabah çöpe atalım demiyorum.

Yeni nesil, kuantum bilgisayarlara karşı dayanıklı algoritmalara kontrollü şekilde geçmemiz gerekiyor.

NIST bu konuda uzun süredir çalışmalar yürütüyor ve artık bazı algoritmalar standartlaşmış durumda.

Örneğin:

• ML-KEM, güvenli anahtar değişimi için kullanılıyor.
• ML-DSA, dijital imzalar için kullanılıyor.
• SLH-DSA ise farklı bir dijital imza yaklaşımı sunuyor.

İsimler ilk bakışta biraz karmaşık gelebilir, ecnebiler kısaltma kullanmaya bayılıyor ne yapalım :). Kaldı ki çoğumuzun günlük operasyonlarında algoritmaların matematiksel detaylarına hâkim olmasına gerek yok.

Asıl önemli soru şu:

Kullandığımız platformlar bu dönüşüme hazır mı?

İşte burada Red Hat Enterprise Linux devreye giriyor.

RHEL ve Post-Quantum Cryptography tarafında ne gibi gelişmeler var?

Red Hat, özellikle RHEL 10 ve RHEL 10.1 ile birlikte Post-Quantum Cryptography konusunda ciddi adımlar atmış durumda.

Yeni PQC algoritmaları OpenSSL, GnuTLS, NSS ve Go gibi sistemin birçok temel bileşeninde destekleniyor.

Bu aslında önemli bir nokta. Çünkü kurumsal tarafta kriptografi sadece tek bir uygulamada kullanılan bir özellik değil. İşletim sisteminden uygulamalara, web servislerinden API bağlantılarına kadar her yerde karşımıza çıkıyor.

Dolayısıyla işletim sistemi seviyesinde bu desteğin bulunması geçişi oldukça kolaylaştırıyor.

Hybrid key exchange: Klasik kriptografiden Post-Quantum Cryptography’ye kontrollü geçiş

Burada güzel bir detay daha var.

RHEL tarafında hybrid key exchange yaklaşımı kullanılabiliyor.

Yani klasik kriptografik algoritmalar ile Post-Quantum algoritmalar birlikte çalışabiliyor.

Örneğin TLS bağlantısında klasik X25519 algoritması ile ML-KEM birlikte kullanılabiliyor.

Peki bunun avantajı ne? Biz bir gecede tüm altyapıyı değiştirmek istemiyoruz.

Mevcut güvenlik yöntemlerini kullanmaya devam ederken aynı zamanda Post-Quantum algoritmaları da devreye alıyoruz.

Bence kurumsal dünyada olması gereken yaklaşım budur.

Çünkü hepimiz biliyoruz ki production ortamında:

“Yeni teknoloji çıktı, hadi yarın tüm sistemleri değiştirelim.” demek pek gerçekçi değil. Laf aramızda ben de “çalışıyorsa dokunmacı”lardanım :)

Özellikle yüzlerce uygulamanın, farklı vendor ürünlerinin ve eski sistemlerin bulunduğu ortamlarda geçişleri kontrollü bir şekilde yapmalıyız.

Post-Quantum güvenlik sadece TLS ile bitmiyor

Post-Quantum konusu konuşulurken genellikle ilk olarak şifreli bağlantılar akla geliyor.

Ama konu bundan çok daha geniş.

Örneğin yazılım paketlerinin güvenliğini düşünelim.

Bir RPM paketini indiriyoruz. Sisteme kuruyoruz. Peki bu paketin gerçekten Red Hat tarafından yayınlandığını ve değiştirilmediğini nereden biliyoruz?

Dijital imzalardan.

Dolayısıyla kuantum tehdidi dijital imza sistemlerini de ilgilendiriyor.

Red Hat bu tarafta da çalışmalar yapıyor ve RHEL paketlerinde Post-Quantum dijital imza mekanizmalarını kullanmaya başlamış durumda.

Yani konu sadece:

“Web sunucum PQC destekliyor mu?” sorusundan ibaret değil.

Aynı zamanda:

• Yazılım paketleri
• Sertifikalar
• PKI altyapısı
• VPN bağlantıları
• SSH erişimleri
• Kod imzalama
• Makine kimlikleri

gibi birçok alanı kapsıyor.

RHEL 9 Post-Quantum Cryptography için ne sunuyor?

Burada güzel haber şu: Post-Quantum tarafındaki çalışmalar sadece RHEL 10 ile sınırlı değil.

RHEL 9'un yeni sürümlerinde de bazı PQC yetenekleri kullanılabiliyor.

Dolayısıyla:

“Biz daha RHEL 10'a geçmedik, bu konuyu şimdilik düşünmemize gerek yok.”

demek çok doğru olmayabilir.

Tam tersine, mevcut test ortamlarında uyumluluk kontrollerine ve küçük PoC çalışmalarına bugünden başlanabilir.

Böylece ileride yapılacak geçişlerde sürpriz yaşama ihtimali azalır.

RHEL 7 ve RHEL 8 Post-Quantum geçişinde ne durumda?

Şunu kabul etmeliyiz ki RHEL 7 ve 8’li sürümler post kuantum dönem düşünülerek tasarlanmadı dolayısıyla geçiş RHEL 9 kadar kolay olmayacaktır.

Şunu diyecek olabilirsiniz:

“Bizim ortamda hâlâ RHEL 7 ve RHEL 8 var. Post-Quantum tarafına geçiş bizim için nasıl olacak?”

Aslında burada ilk yapılması gereken şey, mevcut sistemleri bir anda Post-Quantum hale getirmeye çalışmak değil. Öncelikle hangi uygulamaların, servislerin ve kriptografik bileşenlerin eski sürümlere bağımlı olduğunu anlamak gerekiyor.

Çünkü Post-Quantum desteği sadece işletim sistemi sürümüne bağlı değil. OpenSSL, NSS gibi kriptografi kütüphanelerinin sürümleri, uygulamaların bu kütüphaneleri nasıl kullandığı ve üçüncü parti yazılımların uyumluluğu da işin içine giriyor.

Özellikle RHEL 7 tarafında bu daha belirgin bir konu. Eski uygulamalar, eski kütüphaneler ve uzun süredir değişmeden çalışan bağımlılıklar, Post-Quantum geçişini doğrudan zorlaştırabilir.

RHEL 8 tarafı daha güncel olsa da yine de yeni nesil PQC özellikleri açısından RHEL 10 seviyesinde bir yetenek seti beklemek doğru olmaz.

Kısacası, RHEL 7 ve RHEL 8 kullanan sistemler Post-Quantum yolculuğunun dışında değil. Tam tersine, geçiş planının en dikkatli ele alınması gereken parçaları olabilir.

Bu sistemlerde bugünkü hedef doğrudan Post-Quantum algoritmalarını kullanmak değil; geçişi zorlaştırabilecek eski bağımlılıkları, uygulamaları ve kriptografik bileşenleri şimdiden tespit edip modernizasyon planına dahil etmek olmalı. Bana kalırsa çok katı uygulama bağımlılıkları yoksa RHEL7 ve 8’leri mümkün oldukça güncel Red Hat sürümleri ile replace etmek daha sağlıklı olacaktır.

Post-Quantum Cryptography için bugün ne yapabiliriz?

Kimsenin yarın bütün altyapısını Post-Quantum hale getirmesine gerek yok.

Ama birkaç basit adımla hazırlığa başlayabiliriz. Öncelikle ortamımızdaki kriptografik kullanımı anlamamız gerekiyor.

Hangi uygulamalar TLS kullanıyor?

Hangi algoritmalar aktif?

Sertifikalar nerede tutuluyor?

VPN ve PKI altyapılarımız nasıl çalışıyor?

Ardından en kritik verileri belirleyebiliriz.

Örneğin bir verinin gizliliğinin 15 yıl korunması gerekiyorsa, Post-Quantum açısından önceliği yüksek olabilir.

Sonrasında RHEL 10 veya RHEL 10.1 gibi platformlarda küçük test ortamları kurulabilir.

Hybrid TLS bağlantıları denenebilir. Uygulama uyumlulukları kontrol edilebilir. Performans üzerindeki etkiler ölçülebilir.

Yani hemen büyük bir dönüşüm projesi başlatmak yerine önce ortamı tanımak ve küçük denemeler yapmak çok daha mantıklı.

Dönüşüm için kuantum bilgisayarları beklemek pek iyi bir plan olmayabilir

BT dünyasında büyük teknoloji geçişlerinin ne kadar uzun sürdüğünü hepimiz biliyoruz.

Hatırlayanlarınız vardır bir dönem IPv6’ya geçeceğiz diye büyük hazırlıklar yapıyorduk. Sonra ne oldu? NAT’larla CGNAT’larla devam ettik.

IPv6 yıllardır hayatımızda ama hâlâ birçok yerde geçiş tamamlanmış değil.

Eski TLS sürümlerini kaldırmak bile yıllar aldı.

Post-Quantum dönüşümünün bunlardan daha küçük olacağını düşünmemek lazım. Çünkü bu sefer konu internetin ve kurumsal sistemlerin temelindeki kriptografik altyapıyı değiştiriyor.

Bu yüzden belki de kendimize sormamız gereken soru:

“Kuantum bilgisayarlar ne zaman gelecek?” değil.

Asıl soru şu olmalı:

“Kuantum bilgisayarlar geldiğinde biz hazır olacak mıyız?”

Çünkü kuantum bilgisayarlar geldiğinde “Harvest Now, Decrypt Later” yaklaşımı yüzünden iş işten çoktan geçmiş olacak.Red Hat Enterprise Linux tarafındaki gelişmeler gösteriyor ki Post-Quantum Cryptography artık sadece akademik makalelerde konuşulan bir konu değil.

Yavaş yavaş işletim sistemlerine, TLS kütüphanelerine, dijital imzalara ve günlük kullandığımız altyapılara girmeye başladı.

Belki bugün tüm sistemleri değiştirmemiz gerekmiyor.

Ama ortamımızı tanımaya, kriptografik envanterimizi çıkarmaya ve yeni teknolojileri test etmeye başlamak için oldukça iyi bir zamandayız.

Çünkü güvenlik dünyasında çoğu zaman en pahalı cümle şudur:

“İleride Bakarız.”