E-İmza Nasıl Çalışır? Hash, Sertifika ve Doğrulama

Bir belgenin parmak izi: hash

E-imza süreci, belgenin hash değerinin hesaplanmasıyla başlar. Hash, belgenin içeriğinden üretilen sabit uzunlukta bir değerdir. Aynı belge her zaman aynı hash’i üretir; tek bir karakter değiştiğinde hash tamamen değişir. Bu özellik, belgenin sonradan değiştirilip değiştirilmediğini anlamayı sağlar.

Açık anahtar ve özel anahtar

E-imzada iki anahtar bulunur. Özel anahtar yalnızca imza sahibindedir ve USB token gibi donanım içinde korunur. Açık anahtar ise sertifikada yer alır ve herkes tarafından görülebilir. Özel anahtar imza oluşturmak için, açık anahtar ise imzayı doğrulamak için kullanılır. Özel anahtarın ele geçmemesi, e-imza güvenliğinin temelidir.

Sertifika ve güven zinciri

Sertifika, açık anahtarın gerçekten belirli bir kişiye ait olduğunu gösteren dijital belgedir. Sertifika, BTK tarafından yetkilendirilmiş bir ESHS tarafından üretilir. Sertifika zinciri, kök sertifikadan başlayarak kullanıcı sertifikasına uzanır. Doğrulama sırasında bu zincir kontrol edilir; sertifika iptal edilmişse veya süresi dolmuşsa imza geçersiz sayılır.

İmza oluşturma adımları

Kullanıcı belgeyi imzalamak istediğinde e-imza yazılımı belgenin hash’ini hesaplar. Hash, token içindeki özel anahtarla şifrelenir ve dijital imza oluşur. İmza, sertifika ve zaman damgası belgeye eklenir. Bu noktadan sonra belgede yapılan her değişiklik imzayı geçersiz kılar.

• Belge hash’i hesaplanır.
• Hash, özel anahtarla şifrelenir.
• Sertifika ve zaman damgası eklenir.
• İmzalı belge oluşturulur.

Doğrulama nasıl yapılır?

Alıcı, imzalı belgeyi açtığında e-imza yazılımı sertifikayı ve imzayı kontrol eder. Açık anahtarla imza çözülür, belgenin hash’i yeniden hesaplanır ve iki hash karşılaştırılır. Sertifika zinciri, süre ve iptal durumu da kontrol edilir. Tüm kontroller geçerse imza geçerli kabul edilir.

Tahrifat neden imzayı çöker?

Belgede tek bir karakter değişse bile hash tamamen değişir. İmza eski hash üzerinde oluşturulduğu için yeni hash ile eşleşmez ve doğrulama başarısız olur. Bu nedenle e-imza, belgenin bütünlüğünü kanıtlar. İmza Doğrulama Laboratuvarı’nda bunu kendiniz deneyebilirsiniz.

Demo laboratuvar gerçek sertifika kullanmaz; yalnızca öğretici amaçlıdır.