微軟啟動PQC TLS憑證試行計畫

微軟近期公布後量子密碼學（PQC）TLS憑證試行計畫進展，該計畫於8月27日正式啟動，旨在驗證抗量子數位簽章演算法憑證在既有伺服器身分驗證中的相容性。根據Microsoft Trusted Root Program公告，首批試行納入7個PQC根憑證，由DigiCert、Sectigo等7家憑證授權機構（CA）管理。這些憑證目前僅供測試，不具公開信任資格，嚴禁用於正式營運環境或公開網站，確保企業在全面導入前能充分評估風險。

Windows系統支援現況與限制

在用戶端部分，Windows 11 25H2及26H1安裝指定更新並完成設定後，即可在非正式營運環境使用ML-DSA憑證進行伺服器身分驗證測試。然而，伺服器端支援進度較慢，雖然Windows Server 2025的Active Directory憑證服務（AD CS）已於今年5月正式支援簽發ML-DSA憑證，但目前尚未支援試行計畫中的PQC TLS伺服器身分驗證測試，微軟規畫在後續版本加入此功能。這顯示企業在混合架構下，需特別留意用戶端與伺服器端支援時間差帶來的測試挑戰。

相容性風險與企業應對建議

微軟提醒，PQC憑證及其憑證鏈可能比傳統演算法憑證更大，這將增加TLS交握時的資料傳輸量，進而影響連線效能、儲存空間及部分系統處理憑證的能力。既有應用程式、硬體安全模組（HSM）、網路監控設備及憑證管理系統均可能面臨相容性問題，特別是營運技術（OT）系統與嵌入式裝置因不易頻繁升級，調整時間更長。微軟建議企業先盤點依賴數位憑證的系統，確認各系統信任的CA，並向供應商確認PQC支援規畫，務必先在非正式環境完成相容性及效能測試，作為後續系統調整依據。