TUBITAK KamuSM ile Dijital Imzalama Nedir?

TUBİTAK KamuSM Nedir?

TUBİTAK Kamu Sertifikasyon Merkezi (KamuSM), Turkiye'de elektronik sertifika hizmeti sunan ve Bilgi Teknolojileri ve Iletisim Kurumu (BTK) tarafindan yetkilendirilmis resmi kurumdur. KamuSM, kamu kurumlari ve ozel sektorun dijital ortamda gerceklestirdigi islemlerin guvenligi, butunlugu ve inkar edilemezligini saglamak amaciyla elektronik sertifika ve zaman damgasi hizmetleri sunar.

Ozellikle log yonetimi alaninda KamuSM, toplanan kayitlarin uzerinde degisiklik yapilmadigini kanitlayan dijital imza ve zaman damgasi altyapisini saglar. Bu sayede log dosyalari yasal gecerlilik kazanir ve mahkeme sureclerinde delil niteligi tasir.

Dijital Imzalama Nedir ve Neden Onemli?

Dijital imzalama, bir dosyanin veya verinin belirli bir zamanda, belirli bir kisi ya da kurum tarafindan olusturuldugunu ve o andan itibaren iceriginin degistirilmedigini matematiksel olarak kanitlayan bir guvenlik mekanizmasidir.

Log dosyalari baglaminda dijital imzalama su uc temel amaca hizmet eder:

• Butunluk (Integrity): Log dosyasinin imzalandiktan sonra hicbir sekilde degistirilmedigini garantiler.
• Inkar Edilemezlik (Non-repudiation): Imzalanan verinin sahibi, bu veriyi olusturmus oldugunu inkar edemez.
• Zaman Damgasi (Timestamp): Verinin tam olarak hangi tarih ve saatte imzalandigini kesin olarak belirler.

Bu uc unsur bir araya geldiginde, log dosyalari yasal acidan baglayici delil niteligi kazanir. Ozellikle siber saldirilar, veri ihlalleri veya adli sorusturmalar sirasinda imzali loglar kritik bir role sahiptir.

KamuSM vs SelfSign Farklari

Log imzalama islemlerinde iki temel yontem bulunur: SelfSign (varsayilan yontem, kendi kendine imzalama) ve KamuSM (opsiyonel, resmi sertifika otoritesi — KamuSM hesabi gerektirir). Bu iki yontem arasindaki farklar oldukca belirleyicidir:

5651 Sayili Kanun ve Imzalama Zorunlulugu

5651 sayili "Internet Ortaminda Yapilan Yayinlarin Duzenlenmesi ve Bu Yayinlar Yoluyla Islenen Suclarla Mucadele Edilmesi Hakkinda Kanun" Turkiye'de internet erisim loglarinin tutulmasini zorunlu kilar. Bu kanun kapsaminda;

• Internet servis saglayicilari (ISS), yer saglayicilari ve toplu kullanim saglayicilarinin (otel, kafe, havaalani, kurum vb.) erisim loglarini tutmasi zorunludur.
• Tutulan loglar en az 1 yil (bazi durumlarda 2 yil) sureyle saklanmalidir.
• Log dosyalarinin butunlugu ve degistirilmediginin ispatlanabilmesi gerekir.

Isbirligi ve Denetim Yonetmeligi cercevesinde, BTK denetimlerinde log dosyalarinin guvenirliligi sorgulanmaktadir. Loglar varsayilan olarak SelfSign ile imzalanir ve bu yontem denetimlerde gecerlidir. KamuSM hesabiniz varsa, Syslog Ayarlar sayfasindan KamuSM bilgilerinizi girerek resmi KamuSM imzalamasi da yapabilirsiniz; bu denetimlerde daha yuksek guvenilirlik seviyesi sunar.

Imzalama Sureci Nasil Calisir?

Dijital imzalama sureci otomatik zamanlayicilar (scheduler) araciligiyla gerceklestirilir. SelfSign varsayilan olarak aktiftir. KamuSM kullanildiginda tipik bir imzalama akisi su sekilde isler:

1. 1Log Toplama: Firewall, switch, access point ve diger ag cihazlarindan syslog protokolu uzerinden loglar merkezi sisteme aktarilir.
2. 2Gunluk Dosya Olusturma: Toplanan loglar belirli periyotlarla (genellikle gunluk) dosyalara yazilir ve arsivlenir.
3. 3Hash Hesaplama: Arsivlenen log dosyasinin SHA-256 veya SHA-512 algoritmasi ile hash degeri hesaplanir.
4. 4KamuSM'ye Imzalama Istegi: Hesaplanan hash, KamuSM API'sine gonderilerek dijital imza ve zaman damgasi istenir.
5. 5Imza Dosyasinin Saklanmasi: KamuSM'den donen imza dosyasi (.p7s veya .tsr), orijinal log dosyasiyla birlikte guvenli bir sekilde saklanir.
6. 6Dogrulama Kaydi: Imzalama isleminin basarili oldugu sistem loglarinda kayit altina alinir.

Bu surec her gun otomatik olarak calisir. Sistem yoneticisinin mudahalesine gerek kalmadan, bir onceki gune ait tum log dosyalari imzalanir ve arsivlenir.

Imzali Log Dosyalarinin Dogrulanmasi

Imzalama kadar onemli bir adim da dogrulama (verify) islemidir. Dogrulama sureci, imzalanmis bir log dosyasinin imzalandigi andan itibaren degistirilip degistirilmedigini kontrol eder.

Dogrulama islemi su adimlari icerir:

• Orijinal log dosyasinin hash degeri yeniden hesaplanir.
• Imza dosyasindaki (.p7s) hash degeri ile karsilastirilir.
• KamuSM sertifikasinin gecerliligi ve iptal durumu kontrol edilir.
• Zaman damgasinin tutarliligi dogrulanir.

Tum bu kontroller basarili ise dosyanin butunlugu onaylanmis olur. Dosyada tek bir byte bile degismis olsa dogrulama basarisiz doner ve bu durum rapora yansir.

Yasal Denetim Surecinde Imzali Loglar

BTK denetimlerinde veya adli sorusturmalarda log dosyalari talep edildiginde, KamuSM ile imzalanmis loglarin sunulmasi su avantajlari saglar:

• Hizli kabul: Resmi sertifika otoritesi tarafindan imzalandigi icin ek dogrulama gerektirmez.
• Tarih kesinligi: Zaman damgasi sayesinde loglarin ne zaman olusturuldugu tartismasiz bilinir.
• Manipulasyon kaniti: Dosya butunlugunun bozulmadigi matematiksel olarak ispatlanabilir.
• Sorumluluk korunmasi: Kurum, loglarin guvenilirligini saglama yukumlulugunu yerine getirmis olur.

Imzasiz loglar sunuldugunda ise bu loglarin butunlugu kanitlanamayacagi icin itiraz konusu olabilir. Bu nedenle SelfSign veya KamuSM ile imzalama yapilmasi onerilir.

KVKK ile Iliskisi

6698 sayili Kisisel Verilerin Korunmasi Kanunu (KVKK), kisisel verilerin islenmesinde guvenlik onlemlerinin alinmasini zorunlu kilar. Log dosyalari cogunlukla IP adresi, kullanici adi ve erisim zamani gibi kisisel veri icerir.

KVKK cercevesinde log yonetiminin imzalama ile iliskisi su noktalarda ortaya cikar:

• Veri butunlugu: KVKK, kisisel verilerin dogrulugunu ve guncelligini koruma yukumlulugu getirir. Imzali loglar bu butunlugu kanitlar.
• Denetim izi: Kisisel verilere kimlerin, ne zaman eristigi imzali loglarla guvenilir sekilde izlenebilir.
• Ihlal bildirimi: Bir veri ihlali durumunda, imzali loglar ihlalin kapsamini ve zamanlamasini belirlemede kritik delil saglar.
• Hesap verebilirlik: KVKK'nin temel ilkelerinden biri olan hesap verebilirlik, imzali log arsivleriyle desteklenir.

Subgate Network ile KamuSM Entegrasyonu

Subgate Network, dijital imzalama surecinin tamamini otomatiklestiren yerli bir ag guvenligi yazilimidir. Varsayilan olarak SelfSign ile imzalama yapar; KamuSM hesabiniz varsa Syslog Ayarlar sayfasindan KamuSM bilgilerinizi girerek resmi KamuSM imzalamasi da yapabilirsiniz.

Subgate Network'un dijital imzalama ozellikleri:

• Gunluk otomatik imzalama zamanlayicisi (scheduler) ile mudahalesiz calisma
• SelfSign (varsayilan) ve KamuSM (opsiyonel, KamuSM hesabi gerektirir) destegi
• Imzalama durumu izleme paneli ve basarisiz imzalama uyarilari
• Tek tikla toplu dogrulama (verify) islemi
• Imzali log dosyalarini indirme ve paylasma
• 12 firewall markasinin loglarini destekleme