新聞

微軟近期說明後量子密碼學（PQC）TLS憑證試行計畫的進展。這項計畫於8月27日啟動，目的是測試採用抗量子數位簽章演算法的TLS憑證，能否用於既有系統的伺服器身分驗證。微軟也提醒企業，導入PQC憑證可能影響既有系統的相容性，應及早準備。

根據Microsoft Trusted Root Program公告，試行計畫首批納入7個PQC根憑證，分別由DigiCert、Sectigo等7家憑證授權機構（CA）管理。這些憑證不具公開信任資格，僅供測試使用，不得用於正式營運環境或公開網站。Windows 11 25H2及26H1安裝指定更新並完成相關設定後，即可在非正式營運環境使用ML-DSA憑證測試伺服器身分驗證。Windows Server 2025的Active Directory憑證服務（AD CS）已於今年5月正式支援簽發ML-DSA憑證，不過，Windows Server 2025目前尚未支援試行計畫的PQC TLS伺服器身分驗證測試，微軟規畫在後續版本加入這項功能。

企業導入PQC憑證時，既有應用程式、裝置、硬體安全模組（HSM）、網路監控設備及憑證管理系統可能面臨相容性問題。微軟指出，PQC憑證及其憑證鏈可能比採用傳統演算法的憑證更大，增加TLS交握時的資料傳輸量，並可能影響連線效能、儲存空間，以及部分系統處理或檢查憑證資料的能力。部分營運技術（OT）系統、嵌入式裝置及資安設備不易頻繁升級，也可能讓企業需要更多時間調整系統。

對於準備進行PQC轉型的企業，微軟建議先盤點依賴數位憑證的系統，釐清各系統使用哪些憑證，以及信任哪些憑證授權機構，再向CA及軟硬體供應商確認PQC支援規畫。企業也應先在非正式營運環境測試新憑證的相容性及效能，作為後續系統調整的依據。