İçeriğe atla

Kamu Sertifikasyon Merkezi

Elektronik imza (e-imza) Güvenli elektronik imza oluşturma aracı - Sim Kart ve USB Bellek

Kamu Sertifikasyon Merkezi (Kamu SM®), Türkiye Bilimsel ve Teknolojik Araştırma Kurumu (TÜBİTAK) Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü (UEKAE) bünyesinde 2005 yılında kurulmuştur. Türkiye'nin ikinci elektronik sertifika hizmet sağlayıcısı olan Kamu SM®, 5070 sayılı Elektronik İmza Kanununa uygun olarak kurulmuş ve işletilmektedir.

TÜBİTAK UEKAE, bilgi güvenliği ve elektronik imza teknolojilerindeki yetkinliğinden dolayı Kamu Sertifikasyon Merkezi'ni oluşturmakla görevlendirilmiştir.

Elektronik imza (e-imza) nedir?

Sürekli ilerleyen teknolojiye ve internet kullanımındaki büyük artışa paralel olarak büyüyen veri transfer sistemleri sayesinde; kişi ve kuruluşların özel ve resmi haberleşmelerinde kullandıkları kâğıt, yerini tamamen elektronik dokümanlara bırakmaya başlamıştır. Bankacılık işlemleri ve her gün internet üzerinden yapılan yüz binlerce alışveriş buna verilebilecek örnekler arasında yer almaktadır.

Bu yeni iletişim biçimine ek olarak, faydalandığımız hizmetlerin güvenliğinin ve güvenirliğinin sağlanması da zorunlu hale gelmiştir. Elektronik ortamda karşımıza çıkacak sorunlar kâğıt ortamda karşılaşacağımız risklerle genelde hayli benzer unsurlardır. Kağıda atılan imzada olduğu gibi elektronik ortamda atılan “elektronik imza / e-imza” haberleşmenin güvenliğinin ve güvenirliğinin vazgeçilmez ihtiyacıdır. Elektronik imza kısaca elektronik veriye eklenen ya da mantıksal bağlantısı bulunan, kimlik doğrulama amacıyla kullanılan elektronik bir veridir. Islak imza nasıl bir kağıda atılan imzanın size ait olduğunu ispatlamaktaysa, elektronik imza da herhangi bir elektronik dokümana eklenen imzalama verisiyle dokümanın size ait olup olmadığını ispatlamaktadır.

Belgelerin elektronik ortamda imzalanması için dünyaca kullanılan en güvenilir yöntem, Açık Anahtar Altyapısı (AAA, PKI = Public Key Infrastructure) teknolojisidir. AAA teknolojisi kullanılarak oluşturulan elektronik imzalama verisi kişiye ve imzalanan dokümana özeldir, bu nedenle başkaları tarafından taklit edilemez ve imzalı belge üzerinde değişiklik yapılamaz. İstenildiğinde elektronik imzalama verisinin doğruluğu kontrol edilebilir. Elektronik imza, imzalayan kişinin kimlik doğruluğunu ispatlar; imzalanan verinin içeriğinin başka bir şahıs tarafından değiştirilip değiştirilmediğini (bütünlüğünün bozulup bozulmadığını) ortaya koyar.

Elektronik imza verisi kişiye özgü bir anahtara ve imzalanacak dokümanın elektronik içeriğinden alınacak veriye göre üretilir. Bu nedenle doküman imzalandıktan (imzalama verisi üretildikten) sonra dokümanda yapılacak en küçük değişiklik dokümanın elektronik içeriğinin değişmesine dolayısıyla imzalama verisinin değişmesine neden olacaktır. Böyle bir durumdaki dokümanın imza kontrolü yapıldığında açığa çıkacak imzalama verisi, dokümanın mevcut imzalama verisiyle farklılık göstereceğinden, dokümanın içeriğinin değiştirilip değiştirilmedi (bütünlüğünün bozulup bozulmadığı) açığa çıkacaktır. Yani imzalanan içerik şu anki içerikten farklı olduğundan imza geçersiz sayılacaktır.

Elektronik imzanın atılabilmesi için kişiye ait bir Nitelikli Elektronik Sertifika'nın (NES) olması gerekir. Nitelikli elektronik sertifika üretilirken kişiye özel iki adet anahtar üretilir, bu veri çifti her kişi için farklıdır. Bunlardan birisi Açık Anahtar (Public Key) diğeri ise Özel Anahtar (Private Key) dır. Sadece sizin için üretilen Özel Anahtarınız akıllı kart içerisinde size teslim edilir. Bu verinin akıllı karttan çıkarılması mümkün değildir. Size ait Açık Anahtarınız ise isteğinize bağlı olarak, herkesin erişimine açık bir dizin sisteminde tutulmaktadır. Özel anahtarınızı kullanarak, imzalama programı ile elektronik dokümana ait imzalama verisi oluşturulur. Açık Anahtarınız ile de imzalanan elektronik dokümandaki imzalama verisinin size ait olup olmadığı kontrol edilir. Bu sayede elektronik dokümanın elektronik imzalaması ve doğrulaması gerçekleştirilmiş olur.

Kamu SM

Kamu SM, kişilerin kimlik doğrulamasını sağlayıcı nitelikli sertifikasyon servislerde, elektronik belgelerin, elektronik veri ve donanımların güvenilirlik ve güvenliğini sağlayıcı hizmetlerde uzmanlaşmıştır. Kamu SM® tarafından oluşturulan elektronik imza, belgeyi imzalayan kişinin kimliğini tanıma amacıyla kullanılmaktadır ayrıca imzalı elektronik verinin/belgenin değiştirilip değiştirilmediğini tanımaya olanak vermektedir.

Kamu SM, 5070 sayılı kanuna uygun hazırlamak ve bu sertifikaları imza oluşturma verileriyle birlikte Güvenli Elektronik İmza Donanım Araçlarına yükleyerek alıcılarına teslim etmekle yükümlüdür. Kamu SM®, sertifika başvurusunda bulunan kişilerin başvuru bilgilerini toplarken, sertifikaları hazırlarken ve teslim ederken güvenli ürün ve sistemleri kullanmak, hizmeti güvenilir bir biçimde yürütmek, sertifikaların taklit ve tahrif edilmesini önlemekle ilgili her türlü tedbiri almak ile yükümlüdür.

Kamu SM® tarafından sağlanan ürün ve hizmetler UEKAE Açık Anahtar Altyapısına (MA3) dayanmaktadır. Bu ürün ve hizmetler kamu ve özel sektörü hedeflemektedir. Sağlanan hizmet ve ürünlerin genel çerçevesi aşağıda listelenmiştir:

Ürünler ve hizmetleri

  • Güvenli elektronik imza için nitelikli elektronik sertifika üretimi ve yönetimi: Nitelikli elektronik sertifikalar, belgeyi imzalayan kişinin kimliğini doğrulamak amaçlı kullanılırlar. Ayrıca bu sertifikalar elektronik verinin herhangi bir değişikliğe uğramadığını garanti etmek amaçlı kullalmaktadırlar. Nitelikli elektronik sertifikalar X.509 standartlarında üretilmekte ve bu standarta uyan web tarayıcılara, akıllı kartlara ve tokenlara yüklenebilmektedirler.
  • Niteliksiz genel kullanım amaçlı e-imza için elektronik sertifika üretimi, veritabanları, uygulamalar ve domain log-on sertifikları üretimi, e-mail koruma, SSL sunucu koruma ve VPN log-on amaçlı sertifikların üretimi, kod (program) imzalama amaçlı sertifika üretimi
  • Şirketlerin var olan bilgi sistemleri altyapısını e-imza uyumlu hale getirici yazılım kütüphaneleri (applet ve API gibi).
  • Güvenli zaman damgalama hizmeti (Time Stamp Services): Güvenli zaman damgalama hizmeti, bir veri veya belgenin yaratılma ve değiştirilme tarihinin güvenli olarak zaman kaydı ile ilişkilendirilmesi işlemidir. Çevrimiçi Sertifika Durum Protokol (ÇİSDUP) hizmeti (OCSP Services): X.509 standartına uygun olarak üretilmiş sertifikanın, iptal durumda olup olmadığını Sertifika İptal Listeleri (SİL)'ne bakmadan sorgulanabilmesini ÇİSDUP sağlamaktadır. Bu protokol RFC 2560'da tanımlıdır.
  • Elektronik İmza konusunda şirketlere ve kamu kurum/kuruluşlarına danışmanlık verilmesi.
  • Şirketlerin ve kamu kurum/kuruluşlarının Elektronik İmza Uyum denetiminin gerçekleştirilmesi.
  • Mali Mühür
  • Ödeme Kaydedici Cihaz

Kaynakça

İlgili Araştırma Makaleleri

<span class="mw-page-title-main">Kriptografi</span>

Kriptografi, kriptoloji ya da şifreleme, okunabilir durumdaki bir verinin içerdiği bilginin istenmeyen taraflarca anlaşılamayacak bir hale dönüştürülmesinde kullanılan yöntemlerin tümüdür. Kriptografi bir matematiksel yöntemler bütünüdür ve önemli bilgilerin güvenliği için gerekli gizlilik, aslıyla aynılık, kimlik denetimi ve asılsız reddi önleme gibi şartları sağlamak amaçlıdır. Bu yöntemler, bir bilginin iletimi esnasında ve saklanma süresinde karşılaşılabilecek aktif saldırı ya da pasif algılamalardan bilgiyi –dolayısıyla bilginin göndericisi, alıcısı, taşıyıcısı, konu edindiği kişiler ve başka her türlü taraf olabilecek kişilerin çıkarlarını da– koruma amacı güderler.

<span class="mw-page-title-main">UEKAE</span>

Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü (UEKAE), TÜBİTAK'ın bünyesinde yer alan bir enstitüdür.

HTTPS bir bilgisayar ağı üzerinden güvenli iletişim için internet üzerinde yaygın olarak kullanılan bir HTTP uzantısıdır. HTTPS'te, iletişim protokolü Taşıma Katmanı Güvenliği (TLS) veya öncesinde, onun öncülü/selefi olan Güvenli Soket Katmanı (SSL) ile şifrelenir. Bu nedenle protokol sık sık TLS üzerinden HTTP veya SSL üzerinden HTTP olarak da adlandırılır.

<span class="mw-page-title-main">Sanal özel ağ</span> Uzaktan erişim yoluyla farklı ağlara bağlanmayı sağlayan internet teknolojisi

Sanal Özel Ağ, uzaktan erişim yoluyla farklı ağlara bağlanmayı sağlayan bir internet teknolojisidir. VPN, sanal bir ağ uzantısı oluşturarak, ağa bağlanan cihazların fiziksel olarak bağlıymış gibi veri alışverişinde bulunmasına olanak tanır. Basitçe, İnternet veya diğer açık ağlar üzerinden özel bir ağa bağlanmayı mümkün kılan bir bağlantı türüdür.

<span class="mw-page-title-main">Elektronik imza</span>

Elektronik imza ya da sayısal imza, başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir. E-imza olarak da bilinir. Elektronik ortamlarda imza yerine kullanılabilen yasal kimlik doğrulama sistemidir. Elektronik imza, elektronik belge'ye girilen bir isim kadar basit olabilir. Dijital imzalar, elektronik imzaları kriptografik olarak korunan bir şekilde uygulamak için e-ticarette ve düzenleyici dosyalarda giderek daha fazla kullanılmaktadır. Özellikle e-ticaretin hızlı yükselişi nedeniyle daha fazla önem kazanmştır. Elektronik imza sayesinde imzalanmış verinin, kimin tarafından imzalandığı ve güvenilirliği kontrol edilmiş olur. Elektronik imza; iletilen bilginin bütünlüğünün bozulmadığını, bilginin tarafların kimlikleri doğrulanmak suretiyle iletildiğini garanti eder. Ulusal Standartlar ve Teknoloji Enstitüsü veya ETSI gibi standardizasyon ajansları, bunların uygulanması için standartlar sağlar.

<span class="mw-page-title-main">Açık anahtarlı şifreleme</span> hem herkese açık hem de gizli anahtarları kullanarak yapılan şifreleme

Açık anahtarlı şifreleme, şifre ve deşifre işlemleri için farklı anahtarların kullanıldığı bir şifreleme sistemidir. Haberleşen taraflardan her birinde birer çift anahtar bulunur. Bu anahtar çiftlerini oluşturan anahtarlardan biri gizli anahtar diğeri açık anahtardır. Bu anahtarlardan bir tanesiyle şifreleme yapılırken diğeriyle de şifre çözme işlemi gerçekleştirilir. Bu iki anahtar çifti matematiksel olarak birbirleriyle bağlantılıdır.

<span class="mw-page-title-main">Transport Layer Security</span> Internet Şifreleme Protokolü

Taşıma Katmanı Güvenliği (TLS) ve onun öncülü/selefi olan Güvenli Soket Katmanı (SSL), bilgisayar ağı üzerinden güvenli haberleşmeyi sağlamak için tasarlanmış kriptolama protokolleridir. X.509 sertifikalarını kullanırlar ve bundan dolayı karşı tarafla iletişime geçeceklerin kimlik doğrulaması asimetrik şifreleme ile yapılır ve bir simetrik anahtar üzerinde anlaşılır. Bu oturum anahtarı daha sonra taraflar arasındaki veri akışını şifrelemek için kullanılır. Bu, mesaj/veri gizliliğine ve mesaj kimlik doğrulama kodları için mesaj bütünlüğüne izin verir. Protokollerin birçok versiyonu ağ tarama, elektronik mail, İnternet üzerinden faks, anlık mesajlaşma ve İnternet üzerinden sesli iletişim gibi uygulamalarda yaygın olarak kullanılmaktadır. Bu durumda/içerikte/bağlamda en önemli özellik iletme gizliliğidir. Bundan dolayı kısa süreli oturum anahtarı, uzun süreli gizli simetrik anahtardan türetilememelidir.

<span class="mw-page-title-main">Aradaki adam saldırısı</span>

Man-in-the-middle saldırısı, saldırganın birbiri ile doğrudan iletişim kuran iki taraf arasındaki iletişimi gizlice ilettiği veya değiştirdiği saldırı türüdür. İletişim ağı üzerinde veri paketleri serbestçe dolaşır. Özellikle broadcast olarak salınan paketler, aynı ağa bağlı tüm cihazlar tarafından görülebilir. İlkesel olarak hedefinde kendi IP'si olmayan bir paketi alan makinelerin, bu paketlerle ilgili herhangi bir işlem yapmamaları gerekir. Ancak istenirse bu paketlere müdahale edebilir ya da içeriğini öğrenebilirler. Aradaki adam saldırısı ağ üzerindeki paketleri yakalayarak manipüle etmek olarak özetlenebilir.

<span class="mw-page-title-main">Verisign</span> Amerikan internet şirketi

VeriSign, Inc. Reston, Virginia, Amerika Birleşik Devletleri merkezli bir Amerikan şirketidir ve İnternet’in on üç kök ad sunucusundan ikisi dâhil olmak üzere .com, .net ve .name genel üst seviye alan adları ; .cc ve .tv ülke kodlu üst seviye alan adları ve .jobs ile .edu üst seviye alan adları için arka uç sistemlerinin yetkili kayıtçısı olarak çok sayıda ağ altyapısı işletmektedir. Verisign aynı zamanda yönetimli DNS, Dağıtılmış Hizmet Reddi (DdoS) azaltımı ve siber tehdit raporlama dâhil olmak üzere çok sayıda güvenlik hizmeti sunar. Verisign 2010 yılında SSL, PKI, Verisign Trust Seal ve Verisign Kimlik Koruma (VIP) hizmetlerini içeren kimlik doğrulama birimini 1,28 milyar $’a Symantec’e sattı.

Yazılım Teknolojileri Araştırma Enstitüsü (YTE), TÜBİTAK BİLGEM Başkanlığı bünyesinde faaliyet göstermektedir. Enstitü kamu ve özel sektörün Ar-Ge içerikli yazılım ihtiyaçlarını karşılamak ve kamu kurumları için e-Dönüşüm Hizmetlerini vermek üzere kurulmuştur.

Pretty Good Privacy (PGP), 1991 yılında Phil Zimmermann tarafından geliştirilen, OpenPGP standardını kullanarak veri şifrelemek, şifreli veriyi çözmek veya veriyi imzalamak için kullanılan, gönderilen ya da alınan verinin gizliliğini ve kimlik doğrulamasını sağlayan bir bilgisayar programıdır. Genellikle text dokümanlarını, e-postaları, dosyaları, klasörleri ve disk bölümlerini şifrelemek ve imzalamak için kullanılır.

<span class="mw-page-title-main">Açık anahtar altyapısı</span>

Açık anahtar altyapısı (AAA), dijital sertifikaların oluşturulması, yönetimesi, dağıtılması, kullanılması ve yeri geldiğinde iptal edilebilmesi için donanım, yazılım, kullanıcılar(kurumlar veya insanlar) kurallar ve gerekli prosedürlerden meydana gelen bir yapıdır.

Sertifika otoritesi, dijital imzalama işlemi yapan ve belgeleyen kurumdur. Sertifika otoritelerinin görevi, açık anahtarları kendi gizli anahtarlarıyla imzalayarak 3. taraflara sunmaktır. Dijital sertifika imzalama işlemi açık anahtar altyapısı kullanılarak yapılır. Açık anahtarlı şifreleme, kullanıcıların güvenli olmayan ağlarda dijital sertifikaların kullanılması suretiyle güvenli bir şekilde iletişim kurabilmesini ve karşı tarafın kimliğini doğrulamasını sağlayan bir şifreleme yöntemidir.

S/MIME e-postalarınızı şifrelemenizi sağlayan bir teknolojidir. S/MIME, e-postalarınızı istenmeyen erişimden korumak için asimetrik şifrelemeye dayanmaktadır. Ayrıca, mesajın meşru göndericisi olarak sizi doğrulamak için e-postalarınızı dijital olarak imzalamanıza olanak tanır ve bu da onu birçok kimlik avı saldırısına karşı etkili bir silah haline getirir. S/MIME, IETF standartlarındadır ve bir dizi belgede tanımlanmıştır. En önemlileri ise RFC 3369, 3370, 3850 ve 3851'dir. Başlangıçta RSA Data Security Inc. tarafından geliştirilmiştir. S/MIME işlevselliği modern e-posta yazılımının çoğuna yerleştirilmiş ve ve bu işlevsellik çalışan yazılımların arasında karşılıklı olarak çalışmaktadır.

<span class="mw-page-title-main">Kimlik doğrulama</span>

Kimlik doğrulama, bir varlığın(kurum, kişi ya da sistem) doğruladığı bir veri parçasının doğruluğunun teyit edilmesidir. Kimlik tanıma(identification), bir kişinin veya bir şeyin kimliğini kanıtlayan veya gösteren bir eylemi tanımlamanın; kimlik doğrulama, bu kimliğin gerçekten doğrulanma sürecidir. Bu süreç, kişinin kimliğini, kimlik belgelerini doğrulanması, bir dijital sertifikayla internet sitesinin gerçekliğinin doğrulanması, bir yapının yaşının Radyokarbon tarihleme yöntemiyle belirlenmesi ya da bir ürünün ambalajına ve etiketine bakarak doğrulamasını içerir. Diğer bir ifadeyle, kimlik doğrulama, genellikle en az bir çeşit kimlik tanımının doğrulanmasını içerir.

Kriptografide, X.509 açık anahtar sertifikalarının formatını tanımlayan bir standarttır. X.509 sertifikaları, internette gezinmek için güvenli protokol olan HTTPS'nin temeli olan TLS/SSL dahil olmak üzere birçok internet protokolünde kullanılmaktadır. Elektronik imzalar gibi çevrimdışı uygulamalarda da kullanılırlar. Bir X.509 sertifikası bir açık anahtar ve bir kimlik içerir ve bir sertifika yetkilisi tarafından imzalanır veya kendinden imzalı olarak imzalanır. Sertifika güvenilir bir sertifika yetkilisi tarafından imzalandığında veya başka yollarla doğrulandığında, bu sertifikayı tutan biri, başka bir tarafla güvenli iletişim kurmak için sertifikanın içerdiği açık anahtara güvenebilir veya ilgili özel anahtar ile dijital olarak imzalanmış belgeleri doğrulayabilir.

<span class="mw-page-title-main">Açık anahtar sertifikası</span>

Açık anahtar sertifikası ya da bilinen diğer adıyla dijital sertifika, açık anahtar sahipliğinin kanıtlanmasında kullanılan bir elektronik dokümandır. Sertifika, anahtar hakkında bilgiler, sahibinin kimliği hakkında bilgiler ve sertifikanın içeriğini doğrulayan bir varlığın dijital imzasını içerir. İmza geçerliyse ve yazılım, incelediği sertifikanın sağlayıcısına güveniyorsa, sertifikanın öznesi ile güvenli bir şekilde iletişim kurmak için bu anahtarı kullanabilir. E-posta şifreleme, kod imzalama ve elektronik imza sistemlerinde özne genelde bir kişi ya da kuruluştur. Ancak, Transport Layer Security (TLS)’de özne genelde bir bilgisayar ya da farklı aygıt olmasına rağmen TLS sertifikaları, cihazları tanımlamasındaki temel rollerine ek olarak kuruluşları ya da bireyleri tanımlayabilir. Bazen eski adı olan Secure Sockets Layer (SSL) olarak da anılan TLS, web’de güvenli gezinme için bir iletişim protokolü olan HTTPS’nin önemli bir parçasıdır.

Mobil imza, 15 Ocak 2004 tarihinde Türkiye Büyük Millet Meclisinde kabul edilen 5070 sayılı Elektronik imza kanunu kapsamında ıslak imza ile eşdeğer olan sayısal imza sistemidir. E-imza'dan farklı olarak NES adı verilen dijital varlığın Elektonik Sertifika Hizmet Sağlayıcılar (EHSH) tarafından taşınabilir USB aygıtı yerine GSM hattına tanımlanmasıdır.

Skype, Skype Technologies S.A. tarafından geliştirilen İnternet Üzerinden Ses Protokolü (VoIP) sistemidir. Sesli aramaların özel amaçlı bir ağdan ziyade İnternet üzerinden geçtiği eşler arası (peer-to-peer) bir ağdır. Skype kullanıcıları diğer kullanıcıları arayabilir ve onlara mesaj gönderebilir.

Sertifika bu anlamlara gelebilir:


Bu sayfa, bu Vikipedi makalesine dayanmaktadır.
Metin, CC BY-SA 4.0 lisansı altında mevcuttur; ek koşullar uygulanabilir.
Görseller, videolar ve sesler kendi lisansları altında mevcuttur.