Windows 11 如何支援後量子密碼憑證與企業驗證機制

Question

Windows 11 如何支援後量子密碼憑證與企業驗證機制

Chen Weiming 140

我們的資安架構團隊正規劃未來數年的後量子密碼（Post-Quantum Cryptography，PQC）遷移計畫，希望企業環境能逐步採用具備抗量子攻擊能力的加密標準。

我們想了解，Windows 11 在驗證與憑證處理架構方面做了哪些核心變更，以支援未來的後量子密碼演算法？當企業裝置連線至內部網站或其他受憑證保護的服務時，Windows 11 是如何辨識並處理採用抗量子演算法的憑證授權單位（Certificate Authority，CA）及其憑證鏈的？

此外，也希望了解以下幾個問題：

Windows 11 是否已原生支援後量子密碼或混合式（Hybrid）憑證？
哪些驗證元件（例如 Schannel、CryptoAPI 或 CNG）已開始支援 PQC 演算法？
企業是否需要更新 Active Directory Certificate Services（AD CS）或內部 PKI，才能與新版 Windows 驗證架構相容？
Microsoft 是否建議企業在全面導入後量子密碼之前，先採用混合式憑證作為過渡方案？

如有相關部署建議或最佳實務，也歡迎分享。感謝大家的協助！

0 則留言

1 個回答

您的回答

Answer 1

你好，陈，

Windows 11 已开始通过其加密 API（CNG，Cryptography API: Next Generation）为后量子密码（PQC）奠定基础，但目前在正式版本中尚未提供全面的原生支持。当前通过 Schannel 实现的身份验证和 TLS 处理仍然依赖传统算法（如 RSA 和 ECC），证书链验证依然遵循标准的 X.509 模型，这意味着基于 PQC 的 CA 证书链目前尚未被广泛信任或以不同方式处理。

微软已经在预览版本（如 Insider 构建）中引入了对混合密钥交换（传统算法 + PQC）的早期支持，但这些功能尚未在企业环境中默认启用。截至目前，Schannel 和 CryptoAPI 在生产环境中都未完全支持 PQC 证书验证，相关能力主要集中在 CNG 的扩展性和测试场景中。

对于企业 PKI（公钥基础设施），AD CS 目前不支持签发 PQC 或混合证书，因此暂时无需进行任何变更，但建议规划未来的升级路径或考虑在标准成熟后与外部 PKI 集成。微软当前的建议是继续使用传统密码体系，同时关注 NIST 对 PQC 的标准化进展，预计未来会以“混合方案”作为过渡，而不是直接全面替换。

在实际操作中，建议保持 Windows 11 系统持续更新，避免过早修改 PKI 架构，如果对安全要求较高，可以在隔离环境中开始测试混合 TLS 实现方案。

哈利。