IT之家 6 月 3 日消息，微軟宣布為 Windows 11 和 Windows Server 2025 推出新一輪后量子密碼學(xué)（PQC）能力，幫助組織降低“先竊取后解密”（HNDL）風(fēng)險。
此次更新將量子安全防護從算法與 API 層面延伸至協(xié)議和平臺組件，包括在 Windows TLS 協(xié)議棧中加入 PQ TLS 混合密鑰交換、在 Windows 密碼學(xué) API 中支持復(fù)合 PQC 算法，以及通過 Active Directory 證書服務(wù)（ADCS）簽發(fā)后量子證書。
其中 ADCS 的 ML-DSA 證書簽發(fā)功能已于 2026 年 5 月正式上線，TLS 混合密鑰交換和復(fù)合算法目前處于預(yù)覽階段，預(yù)計在未來幾個月內(nèi)普遍可用。
PQ TLS 混合密鑰交換讓傳輸中的數(shù)據(jù)直接獲得量子安全保護。微軟在 Windows TLS 堆棧中引入了三種混合組合，每種都將一種經(jīng)典算法與 NIST 標準后量子算法 ML-KEM 配對，分別為 X25519_MLKEM768、SecP256r1_MLKEM768 和 SecP384r1_MLKEM1024。IT 管理員可通過多種工具啟用這些選項，包括組策略、移動設(shè)備管理（MDM，如 Intune）或 TLS PowerShell cmdlets。
該功能已在 Windows Insider 預(yù)覽頻道中提供，適用于評估真實 Windows 原生環(huán)境下的部署，為量子安全遷移策略做準備。
在密碼學(xué) API 方面，Windows Cryptography API Next Generation 和證書功能正在加入對復(fù)合 ML-KEM 及復(fù)合 ML-DSA 的支持，遵循 IETF 對應(yīng)草案，將傳統(tǒng) ECDSA 數(shù)字簽名算法與 ML-DSA、傳統(tǒng) ECDHE 密鑰交換算法與 ML-KEM 相結(jié)合。復(fù)合算法要求攻擊者必須攻破所有組件才能威脅受保護數(shù)據(jù)，內(nèi)置組合方式可降低集成不當(dāng)帶來的風(fēng)險。
這些能力同樣通過 Windows Insider 預(yù)覽版提供，未來幾個月隨 Windows 11 和 Windows Server 2025 正式發(fā)布，使開發(fā)者和安全架構(gòu)師能夠在實際證書與簽名模式中開展原型設(shè)計與驗證。
另外，ADCS 簽發(fā)后量子證書的功能已在 Windows Server 2025 中正式可用。ADCS 支持 ML-DSA-44、ML-DSA-65、ML-DSA-87 三種參數(shù)集，可用于代碼簽名和 TLS 證書等場景。由于現(xiàn)有證書頒發(fā)機構(gòu)（CA）無法直接升級，需部署新的并行 CA 層級以測試和驗證后量子證書頒發(fā)與信任校驗流程。
微軟還計劃在今年晚些時候加入 ML-KEM 和復(fù)合算法支持，將量子安全能力從簽名場景擴展到更廣泛的證書互操作領(lǐng)域。
IT之家從官方獲悉，上述進展建立在微軟此前工作的基礎(chǔ)之上。去年 11 月，PQC 算法已在 Windows 11 和 Windows Server 2025 上全面可用，此次則是將量子安全能力進一步引入實際使用的協(xié)議與證書場景。
微軟指出，對于許多組織而言，這些功能提供了采用量子安全加密的明確起點。安全團隊可著手盤點公鑰加密的使用位置，優(yōu)先處理涉及長期保密數(shù)據(jù)的系統(tǒng)，例如文檔庫、郵件歸檔、數(shù)據(jù)庫和備份存儲，并針對依賴 TLS 及證書信任的資產(chǎn)進行測試；開發(fā)人員可在受控環(huán)境中測試新算法支持；IT 管理員則可提前準備證書策略、設(shè)備策略和加密清單管理等運營變更。
據(jù)微軟介紹，未來路線圖還將覆蓋 IPsec、Wi-Fi 網(wǎng)絡(luò)保護、TLS 與 Kerberos 認證、Windows Hello 與通行密鑰等無密碼體驗，以及 BitLocker、軟件簽名和固件簽名等平臺保護領(lǐng)域，部分能力將在今年落地，更多進展計劃于 2027 年推出。
廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。