GitHub, kuantum sonrası SSH anahtar değişimini başlatıyor — şimdilik ABD’de değil

Bugün, 14 Ekim 2026’da GitHub, SSH için iki değişikliği uygulamaya başladı: yüklenen yeni RSA anahtarları en az 3072 bit uzunluğunda olmalı ve bazı bağlantılar için kuantum sonrası anahtar değişim algoritması mlkem768x25519-sha256 devreye giriyor. Değişiklikler SSH bağlantılarıyla ilgili; Git’i HTTPS üzerinden kullananların bu duyuru nedeniyle ayarlarını değiştirmesi gerekmiyor.

GitHub’ın 22 Eylül tarihli duyurusunda, algoritmanın ABD bölgesi hariç olmak üzere github.com ve Veri Yerleşikliği özellikli GitHub Enterprise Cloud’da kullanılabilir olacağı belirtiliyor. Bu, platformun desteği sunmaya başlaması anlamına geliyor; yeni algoritmanın gerçekten kullanılması SSH istemcisine ve ayarlarına da bağlı.

Tam olarak neler değişiyor?

14 Ekim’den sonra yüklenen yeni RSA SSH anahtarları için 3072 bit alt sınırı getirildi. Mevcut RSA anahtarlarının yalnızca uzunlukları nedeniyle değiştirilmesi gerekmiyor: GitHub, bunlarla RSA-SHA-2 imzalarının, yani rsa-sha2-256 veya rsa-sha2-512 algoritmalarının kullanılmasını öneriyor. Şirket, belgelerinde yeni anahtarlar için çalışma ortamına uygun olduğu durumlarda Ed25519 kullanılmasını da tavsiye ediyor.

İkinci değişiklik, oturum anahtarının müzakere edilmesiyle ilgili. mlkem768x25519-sha256, kuantum sonrası bir anahtar kapsülleme algoritması olan ML-KEM’i X25519 ile birleştiriyor. GitHub’ın planına göre bu algoritmayı tercih edecek şekilde yapılandırılmış uyumlu istemciler onu otomatik olarak seçebilecek. Eski istemcilerin desteklenen bir uyumluluk algoritmasına geçmesi gerekiyor.

Ekibinizde neleri kontrol etmelisiniz?

1. Bağlantı yöntemini belirleyin. Git remote adreslerini kontrol edin: https:// ile başlayan kayıtlar SSH değişikliklerinden etkilenmez. SSH kullanılıyorsa istemcileri, kütüphaneleri ve entegrasyonları kontrol edin.
2. RSA imzalarını denetleyin. İstemcinin ve kullanılan kütüphanenin RSA-SHA-2’yi desteklediğinden emin olun. GitHub; OpenSSH 7.2p1, Go SSH 0.16.0 ve libssh2 1.11.0 dâhil olmak üzere yaygın uygulamalar için asgari sürümleri belirtiyor.
3. Yeni anahtarları kontrol edin. Kurum politikanız RSA gerektiriyorsa yeni anahtar en az 3072 bit olmalı. Önceden yüklenmiş RSA anahtarlarında, sırf bu değişiklik nedeniyle yenisini üretmektense imza algoritması desteği daha önemlidir.
4. İstemcinin ML-KEM desteğini kontrol edin. Platformun güncellenmesi, belirli bir istemcinin yeni anahtar değişimini seçeceğini tek başına garanti etmez. Önce istemcinin belgelerini ve test bağlantısındaki davranışını kontrol edin; eski istemciler için kurumunuzun benimsenmiş takvimine göre güncelleme planlayın.

Daha sonra başlayacak ayrı bir aşama da var: GitHub, SHA-1 kullanan eski RSA imza algoritmasının ve diffie-hellman-group-exchange-sha256 mekanizmasının deneme amaçlı devre dışı bırakılmasını 4 Kasım ve 9 Aralık 2026 tarihlerine planladı; tamamen kaldırılmaları ise 13 Ocak 2027 için öngörülüyor. Bu nedenle yeni RSA anahtarlarının uzunluğuna ilişkin bugünkü gereklilik ile eski algoritmaların gelecekte kullanımdan kaldırılmasını ayrı geçiş işleri olarak ele almak gerekiyor.

Bugün ekipler için öncelik, SSH istemcilerinin envanterini çıkarmak ve RSA-SHA-2 desteğini kontrol etmek; ardından ML-KEM desteğini ayrıca test etmektir. ABD’deki kullanıcılar için yeni algoritmanın kullanılabilirliği şimdilik duyurulmadı; buna karşılık yeni RSA anahtarlarının boyutuna ilişkin gereklilik 14 Ekim’den sonraki yüklemeler için yürürlükte.