[XM官网]微软宣布为 Win11 引入后量子密码能力：TLS 预览版上线，ADCS 签发 ML-DSA 证书

亚汇网6月3日消息，微软宣布为此次更新将量子安全防护从算法与API层面延伸至协议和平台组件，包括在WindowsTLS协议栈中加入PQTLS混合密钥交换、在Windows密码学API中支持复合PQC算法，以及通过ActiveDirectory证书服务（ADCS）签发后量子证书。其中ADCS的ML-DSA证书签发功能已于2026年5月正式上线，TLS混合密钥交换和复合算法目前处于预览阶段，预计在未来几个月内普遍可用。PQTLS混合密钥交换让传输中的数据直接获得量子安全保护。微软在WindowsTLS堆栈中引入了三种混合组合，每种都将一种经典算法与NIST标准后量子算法ML-KEM配对，分别为X25519_MLKEM768、SecP256r1_MLKEM768和SecP384r1_MLKEM1024。IT管理员可通过多种工具启用这些选项，包括组策略、移动设备管理（MDM，如Intune）或TLSPowerShellcmdlets。该功能已在WindowsInsider预览频道中提供，适用于评估真实Windows原生环境下的部署，为量子安全迁移策略做准备。在密码学API方面，WindowsCryptographyAPINextGeneration和证书功能正在加入对复合ML-KEM及复合ML-DSA的支持，遵循IETF对应草案，将传统ECDSA数字签名算法与ML-DSA、传统ECDHE密钥交换算法与ML-KEM相结合。复合算法要求攻击者必须攻破所有组件才能威胁受保护数据，内置组合方式可降低集成不当带来的风险。这些能力同样通过WindowsInsider预览版提供，未来几个月随Windows11和WindowsServer2025正式发布，使开发者和安全架构师能够在实际证书与签名模式中开展原型设计与验证。另外，ADCS签发后量子证书的功能已在WindowsServer2025中正式可用。ADCS支持ML-DSA-44、ML-DSA-65、ML-DSA-87三种参数集，可用于代码签名和TLS证书等场景。由于现有证书颁发机构（CA）无法直接升级，需部署新的并行CA层级以测试和验证后量子证书颁发与信任校验流程。微软还计划在今年晚些时候加入ML-KEM和复合算法支持，将量子安全能力从签名场景扩展到更广泛的证书互操作领域。亚汇网从官方获悉，上述进展建立在微软此前工作的基础之上。去年11月，PQC算法已在Windows11和WindowsServer2025上全面可用，此次则是将量子安全能力进一步引入实际使用的协议与证书场景。微软指出，对于许多组织而言，这些功能提供了采用量子安全加密的明确起点。安全团队可着手盘点公钥加密的使用位置，优先处理涉及长期保密数据的系统，例如文档库、邮件归档、数据库和备份存储，并针对依赖TLS及证书信任的资产进行测试；开发人员可在受控环境中测试新算法支持；IT管理员则可提前准备证书策略、设备策略和加密清单管理等运营变更。据微软介绍，未来路线图还将覆盖IPsec、Wi-Fi网络保护、TLS与Kerberos认证、WindowsHello与通行密钥等无密码体验，以及BitLocker、软件签名和固件签名等平台保护领域，部分能力将在今年落地，更多进展计划于2027年推出。广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，亚汇网所有文章均包含本声明。