---
title: "Cloudflare, Privacy Pass için post-quantum yolu MOLE ile arıyor"
description: "Privacy Pass, kuantum bilgisayarlara karşı token sahteciliğine açık ama gizliliği koruyor. Cloudflare MOLE ve VOLEitH ile post-quantum yolu arıyor."
image: "https://sezer.in/wp-content/uploads/2026/11/01M6RNKQ9RKEJ9CKY6DGNF44RV.01M6RNKRJAQTN05BV66646AM7Z.png"
url: "https://sezer.in/haberler/privacy-pass-post-quantum-mole/"
date: "2026-11-07T22:26:36+03:00"
updated: "2026-11-07T22:26:36+03:00"
author: "Sezer Şanlıkan"
lang: "tr"
source: "https://sezer.in/haberler/privacy-pass-post-quantum-mole/"
---

# Cloudflare, Privacy Pass için post-quantum yolu MOLE ile arıyor

Cloudflare, Privacy Pass protokolünün post-quantum geleceğini anlatan bir yazı yayımladı ve yeni nesil tasarımı MOLE'u tanıttı. Bugünkü sürüm RSA ve elliptic curve kullandığı için kuantum bilgisayarı olan bir saldırgan token sahteleyebilecek, fakat hiçbir saldırgan token'ın kullanımını veriliş anına bağlayamıyor. Şirket, VOLE-in-the-Head tabanlı yeni blind signature tasarımlarını post-quantum aday olarak inceliyor.

## Privacy Pass nedir, ne işe yarar?

Privacy Pass, bir client'ın kimliğini açığa vurmadan bir siteye meşru olduğunu anonim token'larla kanıtladığı bir protokoldür. Token'lar blind signature gibi kriptografik yöntemlerle verilir ve kullanıldığında veriliş anına bağlanamaz. Site işletenler bunu CAPTCHA ve fingerprinting'e alternatif olarak abuse kontrolü ve rate limiting için kullanır. IETF bünyesinde standart hâline getirildi.

## Privacy Pass'te kuantum riski token sahteciliği

Privacy Pass şu an RSA ve elliptic curve üzerine kurulu. Kuantum bilgisayar devreye girdiğinde saldırgan istediği kadar geçerli token üretebilecek. Token'a dayanan rate limiting bu noktada delinir.

Gizlilik ise korunuyor. Cloudflare protokolün "unconditionally private" olduğunu vurguluyor: kuantum bilgisayarı olan bir saldırgan bile token'ın kullanımını veriliş anına bağlayamıyor.

TLS'teki "harvest now, decrypt later" senaryosunun burada karşılığı yok. Şimdi kaydedilen token trafiği ileride kimseyi ifşa etmiyor. Risk ileriye dönük: Q-day sonrasında sahte token'la kaynak tüketimi.

## Sırayı TLS'ten başlatın

Cloudflare de geçişte en yüksek önceliği TLS gibi authenticated key agreement protokollerine veriyor. Privacy Pass için şirketin ifadesi "biraz nefes alma payı". Planınızı bu sırayla kurun: önce TLS sonlandıran load balancer, reverse proxy ve ingress katmanında post-quantum key agreement, sonra token tabanlı abuse kontrolleri.

Token'ları tek savunma hattı olarak kullanıyorsanız ikinci bir katmanı şimdiden düşünün. Sahte token'lar trafiği meşru gösterir ve limitleri sessizce aşar. IP, oturum veya istek davranışına dayanan klasik limitleri yedek olarak tutun.

## Token boyutu 64 bayttan kilobayta

Sayılar ölçeği gösteriyor. ECDSA-P256 imzası 64 bayt, ML-DSA-44 imzası 2.420 bayt. VOLEitH tabanlı FAEST kanıtları yaklaşık 4 KB, KuMQuat imzaları en küçük hâliyle 2,6 KB.

Cloudflare yakın vadede drop-in bir yedek beklemiyor. Sistemlerin bu maliyeti taşıyacak şekilde yeniden tasarlanması gerekecek.

Token'ları HTTP isteklerinde taşıyorsanız artış doğrudan header boyutuna yansır. Proxy, load balancer ve WAF katmanlarındaki header sınırları, şu an sorunsuz geçen bir token'ı kilobayt boyutuna çıkınca reddedebilir. Hangi şemanın kazanacağı belli değil. Yine de test planına büyük header senaryosu eklemenin maliyeti düşük.

## MOLE ile issuer kimliği gizleniyor

Yeni tasarımın adı MOLE ("Moderation Of unLinkable Endorsements"). Bugünkü bir Privacy Pass token'ını doğrulamak için issuer'ın public key'i gerekiyor, dolayısıyla doğrulayan taraf token'ı kimin verdiğini öğreniyor. MOLE akışı şöyle:

- Anchor adlı taraf client'a bir endorsement veriyor.
- Client ve moderator, güvenilen anchor'ların public key'lerinden oluşan anchor set üzerinde anlaşıyor.
- Client, endorsement'ın bu setteki anchor'lardan birinden geldiğini, hangisi olduğunu söylemeden kanıtlıyor.
- Moderator kabul ederse client'a MOLE credential veriyor; sitedeki etkileşim bu credential ile yönetiliyor.

Issuer kimliğine göre karar veriyorsanız bu ayrım sizi doğrudan ilgilendiriyor. Örnekte bir müşteri, VPN ürününe erişim yetkisini token issuer'ı üzerinden kanıtlıyor. Cloudflare bu kullanımı değerli buluyor; MOLE ise issuer'ın önemsiz olduğu senaryolar için tasarlanıyor ve tüm client türlerine eşit davranmayı hedefliyor. Issuer'a göre farklı limit tanımladığınız kurallar MOLE dünyasına taşınmaz.

Credential türü esnek. Blind signature, anonymous credit token veya anonymous rate-limited credential aynı çerçeveye oturabiliyor. Cloudflare'in açık hedeflerinden biri de agentic trafiği, insan ziyaretçilerin performansını düşürmeden yönetmek.

## VOLE-in-the-Head ve parametre sorunu

Post-quantum anonymous credential tasarımındaki asıl engel parametre seçimi. ML-DSA'nın parametreleri dijital imza için ayarlandı ve başka bir protokolde aynı parametrelerin güvenli kalacağının garantisi yok. Elliptic curve'de protokol tasarımcısı eğri parametrelerini düşünmek zorunda kalmıyordu; post-quantum şemalarda bu iş hâlâ derin uzmanlık istiyor.

VOLEitH (Baum ve arkadaşları, Crypto 2023), küçük binary field'lar üzerindeki denklem setlerinde verimli çalışan bir zero-knowledge proof sistemi. Kanıt boyutu witness ile doğrusal büyüyor, yani succinct değil. Cloudflare bu yıl blind signature tasarımında gelen bir atılımı MOLE'un post-quantum yolu olarak görüyor ve yazı UOV gibi multivariate imzalarla devam ediyor.

Cloudflare bir standart veya ürün takvimi vermiyor. Privacy Pass entegrasyonunuzda şimdilik bir değişiklik gerekmiyor; header boyutu ve issuer'a bağlı kurallar envanterini çıkarmak yeterli hazırlık.