Microsofts PQC-färdplan för Windows 11 och Windows Server 2025

Snabbt svar: Microsofts post-quantum-utrullning av Windows har skett i fyra distinkta steg under mindre än ett år, och att behandla det som en enda "Windows stöder PQC nu"-händelse missar den sekvensering som faktiskt är viktig för planeringen. I november 2025 infördes ML-KEM och ML-DSA i CNG och SymCrypt som råa kryptografiska primitiver. I maj 2026 infördes ML-DSA-certifikatutfärdande till Active Directory Certificate Services på Windows Server 2025. Den 14 juli 2026 infördes hybrid ML-KEM-nyckelutbyte direkt i Schannel TLS-stacken, tillsammans med stöd för sammansatta PQC-algoritmer i Windows kryptografi-API:er och certifikatfunktioner. Varje steg låser upp ett annat lager, primitiver, sedan certifikat, sedan live TLS-förhandling, och den mest betydande enskilda begränsningen i allt detta är att AD CS inte kan uppgradera en befintlig certifieringsutfärdare; PQC-stöd kräver att en ny CA-hierarki upprättas parallellt.

Vår guide om ML-DSA-support för din Microsoft PKI täcker AD CS-delen av denna utrullning på djupet. Den här guiden tar ett bredare perspektiv: den kompletta Windows-plattformssekvenseringen över CNG, SymCrypt, TLS och certifikattjänster, och vad den sekvenseringen innebär för utrullningsplanering.

Key Takeaways

• ML-KEM och ML-DSA blev allmänt tillgängliga som CNG- och SymCrypt-primitiver i Windows-uppdateringen i november 2025, för både Windows 11 och Windows Server 2025.
• Utfärdandet av AD CS ML-DSA-certifikat blev allmänt tillgängligt med säkerhetsuppdateringen från maj 2026 (KB5087539) på Windows Server 2025.
• Hybrid ML-KEM TLS 1.3-nyckelutbyte i Schannel-stacken, plus stöd för sammansatta PQC-algoritmer i Windows kryptografi-API:er och certifikatfunktioner, blev allmänt tillgängligt med säkerhetsuppdateringarna från den 14 juli 2026.
• AD CS kan inte uppgradera en befintlig certifieringsutfärdare till PQC på plats; driftsättning av ML-DSA-stöd kräver att man upprättar en ny, parallell CA-hierarki och migrerar till den medvetet.
• Post-quantum TLS-grupper är inaktiverade som standard, fungerar endast med TLS 1.3 och kräver att båda slutpunkterna stöder en kompatibel förhandlad grupp.

Utrullningen i fyra steg

Datum	Milestone	Vad det låser upp
november 2025	ML-KEM och ML-DSA allmänt tillgängliga i CNG och SymCrypt	Råa kryptografiska primitiver tillgängliga för utvecklare via Windows kryptografiska API:er; .NET 10 innehåller även algoritmerna
Maj 2026	Stöd för AD CS ML-DSA (KB5087539)	Certifikatutfärdare kan utfärda ML-DSA-certifikat för kodsignering, TLS, webbserver, användar- och datormallar och OCSP-svarsignering.
July 14, 2026	Hybrid ML-KEM TLS 1.3 nyckelutbyte i Schannel; sammansatta PQC-algoritmer i CNG och certifikatfunktioner	Schannel förhandlar om ML-KEM hybridnyckelutbyte direkt under riktiga TLS-handskakningar utan att applikationsutvecklare kopplar in det; sammansatta algoritmer utökar stödet för hybridkryptografiska objekt till signerings- och nyckelinkapslingsscenarier bortom TLS.

Sekvenseringen är avsiktlig, inte tillfällig: primitiva komponenter först, så att utvecklare och plattformsteam kan börja experimentera; certifikatutfärdande sedan, och utöka PQC till identitets- och förtroendelagret; liveprotokollförhandling sist, eftersom det är den delen med den största explosionsradien om något går sönder i produktionstrafiken.

CNG och SymCrypt: Där algoritmerna faktiskt finns

SymCrypt är Microsofts centrala kryptografiska bibliotek under Windows, och Cryptography API: Next Generation (CNG) är det gränssnitt som applikationer och plattformskomponenter använder för att nå det. Postkvantalgoritmer exponeras endast via CNG-leverantörer, inte det äldre CryptoAPI:et, vilket är en hård kompatibilitetsgräns: alla applikationer, certifikatmallar eller plattformsfunktioner som fortfarande förlitar sig på äldre CSP:er kan inte använda ML-KEM eller ML-DSA oavsett operativsystemversion och måste först flytta till en CNG Key Storage Provider. Detta är en vanlig blockering som är lätt att missa specifikt i AD CS-certifikatmallkonfiguration, eftersom mallar behöver explicit omkonfigureras till en icke-äldre leverantör innan ML-DSA blir valbar överhuvudtaget.

Hybrid TLS och sammansatta algoritmer

Schannel-uppdateringen från juli 2026 lade till konfigurerbara ML-KEM-hybridgrupper till Windows TLS, inklusive kombinationer som SecP384r1_MLKEM1024, vilket parar ihop en klassisk NIST-kurva med en ML-KEM-parameteruppsättning med högre säkerhet. Dessa grupper är inaktiverade som standard, fungerar endast med TLS 1.3 och kräver båda sidor av en anslutning för att stödja en ömsesidigt kompatibel grupp, samma förhandlingslogik som tas upp i vår implementeringsguide för X25519MLKEM768 . Att aktivera funktionen på operativsystemnivå betyder inte att varje applikation automatiskt använder den: programvara som levererar sin egen TLS-stack snarare än att förlita sig på Schannel gör sitt eget, oberoende val om grupper som stöds, så en konfigurationsändring på Windows-nivå sprids inte universellt.

Stöd för sammansatta PQC-algoritmer, som lades till i Windows kryptografiska API:er och certifikatfunktioner i samma juliuppdatering, utökar stödet för hybridkryptografiska objekt bortom TLS till signerings- och nyckelinkapslingsscenarier i bredare utsträckning, vilket gör det möjligt för organisationer att börja prototypa sammansatta certifikatprofiler och utvärdera effekterna på förtroendekedjor innan ett bredare ekosystemantagande av sammansatta format.

AD CS: Den parallella hierarkibegränsningen

Detta är det enskilt viktigaste operativa faktumet för alla som planerar en AD CS-utrullning: det finns ingen uppgraderingsväg på plats. En befintlig certifieringsutfärdare kan inte växlas till ML-DSA genom en konfigurationsändring eller uppdatering; PQC-stöd kräver att en nyskapad certifieringsutfärdare distribueras, ställs upp parallellt med produktion, valideras och migreras medvetet, snarare än att modifiera den nuvarande rot- eller utfärdande certifikatutfärdaren direkt. Den begränsningen formar hela projektets tidslinje, eftersom en parallell hierarkidistribution och validerad övergång tar väsentligt längre tid än en konfigurationsändring, och den måste budgeteras som sådan från början snarare än att upptäckas mitt i projektet.

Vad vi egentligen skulle rekommendera

Bekräfta vilka specifika Windows- och Windows Server-versioner och KB-uppdateringar som faktiskt distribueras över din maskinpark innan du antar att PQC-beredskap för hela plattformen är möjlig; de fyra stegen ovan har olika datum och olika minimiversioner, och en delvis uppdaterad maskinpark kommer att visa inkonsekvent kapacitet. Planera den parallella hierarkidistributionen av AD CS som ett eget projekt med en egen tidslinje, inte en utrullning som läggs till befintligt CA-underhåll, med tanke på begränsningen att ingen uppgradering krävs på plats. Granska vilka applikationer som är beroende av Schannel kontra en paketerad TLS-stack innan du antar att en hybrid TLS-konfigurationsändring på OS-nivå når varje arbetsbelastning, och konfigurera om äldre CSP-baserade certifikatmallar till CNG Key Storage Providers som ett nödvändigt steg, inte en eftertanke.

Hur krypteringskonsulting kan hjälpa

Att veta vilka builds, KB-uppdateringar och CNG- kontra äldre CSP-konfigurationer som faktiskt distribueras i din Windows-flotta är precis det inventeringsgap som CBOM Secure är byggt för att täcka, genom att mappa plattformspatchnivå och kryptografisk leverantörskonfiguration tillsammans med ditt bredare certifikat- och nyckelinventarium.

Våra PQC-rådgivningstjänster sekvenserar utrullningsstegen för CNG, TLS och AD CS som tas upp i den här guiden mot din faktiska patchnivå och applikationsberoenden för din flotta, och bygger upp den parallella CA-hierarkins migrering till en realistisk projekttidslinje snarare än en antagen konfigurationsändring. Där själva certifikatutfärdandet är i fokus hanterar CertSecure Manager övergången mellan den parallella hierarkin och produktions-CA, inklusive hybrid- och sammansatta format allt eftersom de mognar.

Fyra etapper, inte en händelse

Microsoft har gått snabbt, från primitiver till certifikat för live TLS-förhandling på under ett år, men plattformens PQC-beredskap är inte en enda knapp som slås om en gång. Varje steg har sina egna minimikrav för byggprocessen, sina egna kompatibilitetsgränser och, specifikt för AD CS, en parallell distributionsbegränsning som har verkliga konsekvenser för projektets tidslinje. Att behandla utrullningen som fyra distinkta, sekvenserade funktioner att planera mot, snarare än en Windows PQC-milstolpe att bocka av, är det som faktiskt producerar en realistisk migreringstidslinje.

Vanliga frågor om partihandel med mat och dryck

Kan en befintlig AD CS-certifieringsutfärdare uppgraderas för att stödja ML-DSA?

Nej. Det finns ingen uppgraderingsväg på plats. PQC-stöd kräver att en ny certifieringsutfärdare distribueras parallellt med produktion, valideras och avsiktligt migreras till den, snarare än att modifiera en befintlig rot- eller utfärdande CA.

Gäller aktivering av hybrid TLS på Windows OS-nivå automatiskt för alla applikationer?

Nej. Program som förlitar sig på Windows Schannel TLS-leverantören ärver funktionen, men programvara som levererar sin egen oberoende TLS-stack gör sina egna val om vilka grupper som stöds och påverkas inte av konfigurationen på operativsystemnivå.

Varför kan inte äldre kryptografiska tjänsteleverantörer använda ML-KEM eller ML-DSA?

Postkvantalgoritmer exponeras endast via CNG-leverantörer (Cryptography API: Next Generation), inte det äldre CryptoAPI:et. Alla certifikatmallar eller applikationer som fortfarande är konfigurerade för en äldre CSP måste flyttas till en CNG Key Storage Provider innan postkvantalgoritmer blir tillgängliga.

Är hybrid ML-KEM TLS-nyckelutbyte aktiverat som standard i Windows?

Nej. Post-quantum TLS-grupperna är inaktiverade som standard, fungerar bara med TLS 1.3 och kräver att båda sidor av en anslutning stöder en ömsesidigt kompatibel grupp innan förhandlingen lyckas.

Vad används sammansatta PQC-algoritmer i Windows till?

De utökar stödet för hybridkryptografiska objekt, genom att para ihop en klassisk och en postkvantalgoritm, bortom TLS till signerings- och nyckelinkapslingsscenarier, vilket låter organisationer prototypa sammansatta certifikatprofiler och utvärdera effekterna på förtroendekedjor inför ett bredare branschantagande av sammansatta format.