Dijital İmzalar ve PKI (Public Key Infrastructure)

Dijital imza, bir verinin bütünlüğünü (integrity) ve kaynağını (authenticity) kriptografik olarak kanıtlayan bir mekanizmadır. Bu makale, dijital imzaların nasıl çalıştığına ve bu güvenin ölçeklenebilir şekilde nasıl kurulduğunu sağlayan PKI (Public Key Infrastructure - Açık Anahtar Altyapısı) sistemine odaklanır.

Dijital İmza Nasıl Çalışır?

Dijital imzalama süreci, asimetrik şifrelemenin "ters" bir kullanımıdır:

1. İmzalanacak verinin bir hash'i (özeti) hesaplanır (örneğin SHA-256 ile).
2. Bu hash, imzalayanın ÖZEL anahtarıyla şifrelenir — bu şifrelenmiş hash, "dijital imza"nın kendisidir.
3. Doğrulayan taraf, aynı veriden kendi hash'ini hesaplar, imzayı imzalayanın AÇIK anahtarıyla çözer ve iki hash'i karşılaştırır. Eşleşiyorsa, veri hem değiştirilmemiştir (bütünlük) hem de gerçekten o özel anahtarın sahibi tarafından imzalanmıştır (kimlik doğrulama) — çünkü sadece özel anahtarın sahibi, açık anahtarla çözülebilecek bir imza üretebilir.

PKI: Güveni Ölçeklendirme Problemi

Bir açık anahtarın gerçekten iddia edilen kişiye/kuruma ait olduğunu nasıl biliyoruz? Bu, PKI'nin çözdüğü temel problemdir. PKI, hiyerarşik bir güven yapısı kurar:

• Kök CA (Root Certificate Authority): Zincirin en tepesinde, işletim sistemleri ve tarayıcılar tarafından önceden güvenilir kabul edilen otoriteler.
• Ara CA (Intermediate CA): Kök CA tarafından yetkilendirilmiş, günlük sertifika imzalama işlemlerini yürüten otoriteler — kök CA'nın özel anahtarını doğrudan riske atmamak için bu ara katman kullanılır.
• Son kullanıcı sertifikası (leaf certificate): Bir web sitesinin veya bireyin sertifikası, ara CA tarafından imzalanır.

Bu zincir, "A'ya güveniyorum, A da B'yi imzalamış, o zaman B'ye de güvenebilirim" mantığıyla işler — güvenin kaynağı (kök CA'lar) az sayıda ve dikkatle korunurken, milyonlarca son kullanıcı sertifikası bu küçük güven kümesinden türetilebilir.

Sertifika İptali: CRL ve OCSP

Bir sertifikanın özel anahtarı çalınırsa veya artık geçerli olmaması gerekiyorsa, süresi dolmadan iptal edilmesi (revocation) gerekir. Bunu kontrol etmenin iki klasik yolu:

• CRL (Certificate Revocation List): CA'nın periyodik olarak yayınladığı, iptal edilmiş tüm sertifikaların bir listesi — istemci bu listeyi indirip kontrol eder, ancak liste büyüdükçe bu verimsiz hâle gelir.
• OCSP (Online Certificate Status Protocol): İstemcinin, tek bir sertifikanın durumunu CA'ya gerçek zamanlı olarak sorduğu daha verimli bir protokol — ancak bu, her bağlantıda CA'ya ek bir sorgu yapılması anlamına gelir ki bu hem gecikme hem de gizlilik (CA, hangi sitenin ziyaret edildiğini görebilir) açısından dezavantajlıdır. OCSP Stapling, bu sorunu sunucunun kendisinin OCSP yanıtını önceden alıp istemciye sertifikayla birlikte sunmasıyla (staple ederek) çözer.

Sertifika Şeffaflığı (Certificate Transparency)

Bir CA'nın hatalı veya kötü niyetli bir şekilde, gerçek sahibinin izni olmadan bir alan adı için sertifika yayınlaması riskine karşı, Certificate Transparency (CT) girişimi geliştirilmiştir: yayınlanan her sertifika, herkese açık, değiştirilemez (append-only) genel günlüklere (public logs) kaydedilmek zorundadır. Bu sayede bir alan adı sahibi, kendi adına yetkisiz bir sertifika yayınlanıp yayınlanmadığını bu günlükleri izleyerek tespit edebilir.

Pratik Senaryo

Bir şirketin çalışanı, e-postasını dijital olarak imzalayarak gönderiyor. Alıcının e-posta istemcisi, imzayı gönderenin açık anahtar sertifikasıyla doğruluyor ve bu sertifikanın güvenilir bir ara CA tarafından, o da güvenilir bir kök CA tarafından imzalandığını zincir boyunca doğruluyor. Birkaç ay sonra, çalışanın dizüstü bilgisayarı çalınıyor ve BT ekibi hemen bu çalışana ait sertifikayı CA'ya bildirerek iptal ettiriyor. Sertifika, OCSP sorgusunda artık "revoked" (iptal edilmiş) olarak görünüyor — böylece çalınan cihazdaki özel anahtar ele geçirilse bile, saldırganın bu anahtarla göndereceği "imzalı" bir e-posta, alıcının istemcisi tarafından geçersiz olarak işaretlenecek.

Bu makale, dijital imzalar ve PKI'nin orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.