E-İmza ile YubiKey Aynı Şey mi? Dijital İmza, 2FA ve Passkey Farkı

Benzer bir USB gövdesi, aynı kullanım anlamına gelmez

Bir e-imza cihazıyla donanım güvenlik anahtarını yan yana koyunca benzer görünmeleri normal. İkisi de kriptografik işlemlerde kullanılabilir. Fakat birinin USB girişine takılması, diğerinin yaptığı bütün işleri yapabileceğini göstermez. Özellikle bir işletmede hem resmi belge imzalama hem e-posta hesabını koruma ihtiyacı varsa bu ayrım alışverişten önce yapılmalı.

Ben ürün adından önce yapılacak işi soruyorum: UYAP’ta evrak mı imzalanacak, şirketin e-posta hesabına mı giriş yapılacak, yoksa yazılım geliştirme anahtarları mı korunacak? E-imzanın kullanım alanları ilk soruya yardımcı olur. Burada ise belgeye imza atma, hesap sahibini doğrulama ve anahtarı cihazda saklama görevlerini ayırarak ihtiyaca uygun seçim yapacağız.

Ortak temel: açık anahtarlı kriptografi

Dijital imzada bir özel anahtar ve ona karşılık gelen açık anahtar kullanılır. Özel anahtarla üretilen imza açık anahtarla doğrulanır. Bu yaklaşım, fiziksel bir imza görüntüsünü dosyaya yapıştırmaktan farklıdır; belgeyle matematiksel bir ilişki kurar. Ancak dijital imza için kullanılan bütün sistemleri tek bir algoritmaya, örneğin yalnızca RSA’ya indirgemek doğru olmaz.

Açık anahtarlı kriptografi, verinin imzadan sonra değişip değişmediğini denetlemeyi sağlar. Bunun için doğrulayan tarafın doğru açık anahtarı kullanması da gerekir; bu anahtarın kişiyle nasıl ilişkilendirildiği sertifika ve güven modeliyle açıklanır. NIST’in dijital imza çalışmaları RSA, ECDSA ve EdDSA gibi farklı teknikleri ele alır. İmzalı bir belgenin okunabilir olması olağandır: imza, içeriği gizleyen şifreleme işleminin yerine geçmez.

Türkiye’de e-imza: donanımdan daha geniş bir yapı

Türkiye’de güvenli elektronik imzanın çerçevesi 5070 sayılı Kanun ve ilgili düzenlemelerdir. BTK, güvenli e-imzada nitelikli elektronik sertifikanın, yani NES’in gerekli olduğunu açıklar. Sertifikanın sahibinin kimliği, geçerlilik dönemi, sağlayıcısı ve imza oluşturma koşulları birlikte değerlendirilir. Bir cihazın dijital imza üretebilmesi, bu hukuki ve teknik şartları tek başına karşıladığını göstermez.

Güvenli elektronik imza, kanundaki kapsam ve sınırlamalar içinde elle atılan imzayla aynı hukuki sonucu doğurur. Resmî şekle veya özel merasime bağlı işlemleri bu genel eşdeğerlik üzerinden değerlendirmeyin. Satın almadan önce hedef uygulamanın kabul ettiği sertifika ve kurulum koşullarını kontrol edin. E-imza ile mali mühür ayrımı da kişisel imza ihtiyacıyla işletmenin mali işlemlerini ayırmanıza yardımcı olur.

İki faktörlü doğrulama başka bir soruyu yanıtlar

İki faktörlü doğrulama, farklı türde iki unsurun kullanılmasına dayanır: bildiğiniz parola veya PIN, sahip olduğunuz cihaz ve uygun biyometrik doğrulama bunlara örnektir. Ekranda iki kez soru sorulması tek başına iki farklı faktör bulunduğunu göstermez. Burada doğrulanan, hesaba erişimdir; belgenin içeriğine hukuken imza atma süreci ayrıca değerlendirilir.

SMS ile gelen kod, doğrulama uygulamasının ürettiği OTP ve FIDO güvenlik anahtarı farklı biçimde çalışır. OTP, tek kullanımlık kod demektir. NIST, kullanıcının başka bir ekrana aktardığı kodların sahte giriş sayfaları üzerinden iletilebilmesi nedeniyle OTP doğrulamasını oltalamaya dirençli saymaz. Bu yüzden yalnız “2FA açık” bilgisini kaydetmekle yetinmeyin; hesabın hangi yöntemi kullandığını da belirleyin.

Aynı donanım bir hesapta OTP, başka bir hesapta FIDO için kullanılabilir. Cihazın markasına bakarak her girişin aynı korumayı sağladığını varsaymayın. Hesabın güvenlik ayarlarında kayıtlı yöntemi kontrol edin; kurumsal hesapta hangi yöntemlerin kabul edildiğini bilgi işlem sorumlusundan öğrenin.

FIDO, YubiKey ve passkey nasıl ilişkilidir?

YubiKey bir ürün ailesidir. FIDO2, WebAuthn ve CTAP ise parolasız veya ek faktörlü girişte kullanılan standartlarla ilgilidir. Passkey, bu yapı üzerinde kullanılabilen bir giriş kimlik bilgisidir. FIDO Alliance, senkronize edilen passkey’lerle tek cihaza bağlı passkey’leri ayırır. Telefonda veya parola yöneticisinde oluşturduğunuz bir passkey’in saklanma ve kurtarma yolu, güvenlik anahtarındakiyle aynı olmayabilir.

FIDO/WebAuthn doğrulaması ilgili hizmetin alan adıyla ilişkilendirilir. Bu bağ, başka bir alan adına kurulmuş sahte sayfanın aynı giriş kimlik bilgisini kullanmasına karşı koruma sağlar. Passkey ile çok faktörlü doğrulamadan söz ederken hizmetin kullanıcı doğrulamasını nasıl istediğine de bakın. PIN veya biyometrik doğrulama ile yalnızca cihaza dokunma aynı kontrol değildir.

Kurulumun ardından passkey’in hangi hesaba kaydedildiğini, nerede saklandığını ve cihaz kaybolursa hangi yolla erişeceğinizi kontrol edin. Hesap kurtarma yöntemleri ile bilgisayarın güvenliği de önemini korur. Bir giriş yönteminin oltalamaya dirençli olması, hesabın her türlü saldırıdan etkilenmeyeceği anlamına gelmez.

Hangi ihtiyaca hangi araçla bakılmalı?

Aşağıdaki tablo satın alınacak tek bir ürünü önermez. Önce iş ihtiyacının doğru adını koymak için hazırlanmıştır. Özellikle kurumsal bir sistemde satın almadan önce bilgi işlem biriminin desteklediği yöntem ve hesap kurtarma politikası öğrenilmelidir.

Bir cihazın birden fazla özelliği olabilir

Yubico’nun teknik dokümanında YubiKey 5 Series için FIDO2, U2F, PIV, OTP, OATH ve OpenPGP uygulamaları sıralanır. Her uygulamanın anahtar veya kimlik bilgisi deposu ayrıdır. Security Key Series ise FIDO2 ve FIDO U2F ile sınırlıdır. Satın alacağınız modelde gereken protokolün bulunduğunu kontrol edin; yalnız USB veya NFC bağlantısının uygun olması yeterli bir seçim ölçütü değildir.

PIV özelliği, uyumlu yazılımlarda sertifika ve özel anahtarla akıllı kart işlemleri yapmayı sağlar; dijital imza için kullanılan bir alanı da vardır. OpenPGP ise ayrı bir uygulamadır. Bu teknik kabiliyetler, cihazın kendiliğinden Türkiye’de NES yerine geçmesini sağlamaz. Resmî e-imzada sertifika sağlayıcısının politikası, uygun imza aracı ve hedef uygulamanın kabul koşulları birlikte kontrol edilmelidir.

Cihazın modelini ve firmware sürümünü kaydedip üreticinin ilgili duyurularını karşılaştırın. Örneğin Yubico’nun 3 Eylül 2024 tarihli YSA-2024-03 duyurusu belirli sürümler ve kullanım koşulları için ayrı değerlendirme yapar. Eski bir duyurudaki sürüm numarasını bugünün satın alma veya güncelleme talimatı kabul etmeyin; cihazınıza ilişkin üretici açıklamasını esas alın.

İşletmede cihaz kadar kullanım planı da önemlidir

Ben kurulum tamamlandığında kullanıcının elinde kısa bir işlem listesi kalmasını önemsiyorum. Hangi cihazın hangi hesaba bağlı olduğu, erişim kaybolduğunda kiminle görüşüleceği ve yedek yöntemin nasıl kullanılacağı belli olmalı. Mevcut erişiminizi kaldırmadan, hizmetin önerdiği yöntemle yeni giriş ve kurtarma seçeneklerini kontrol edin.

E-imza tarafında sertifikanın geçerlilik tarihini ve kayıp halinde sağlayıcıya ulaşma yolunu kaydedin. PIN’i kişisel tutun. E-imza PIN ve bloke rehberi bu alandaki kontrol sırasını açıklar; güvenlik anahtarının hesap kurtarma işlemini e-imza PIN’iyle karıştırmayın.

Erzurum’daki işletmeniz için e-imza başvurusunu planlarken kullanılacak resmî uygulamaları listeleyin. E-imza kurulumu konusunda teknik destek formundan cihazınızı, işletim sisteminizi ve takıldığınız adımı paylaşabilirsiniz. PIN, parola veya kurtarma kodu göndermeyin. E-posta hesabınızın giriş ve kurtarma politikasını ise hesabı yöneten hizmet veya kurum sorumlusu ile netleştirin.

Güçlü giriş yönteminin yanında hesabı hangi yetkiyle kullandığınız da belli olmalı. Site veya mağazayı dışarıdan bir ekip yönetiyorsa alan adı, hesap erişimi ve dosya teslimi kontrol listesini doldurun. Böylece güvenli giriş yapabildiğiniz hesabın işletme adına yenileme ve devir işlemlerini kimin yürüttüğünü de görebilirsiniz.

• İmzalanacak belge veya korunacak hesap belli mi?
• Seçilen model ve protokol hedef uygulamayla uyumlu mu?
• Hesapta kayıtlı giriş yöntemi ve cihaz doğru görünüyor mu?
• Yedek erişim ve kayıp bildirimi adımları ilgili kişi tarafından biliniyor mu?