Geçmişte KEP iletisini imzalayan ESHS'nin (Elektronik Sertifika Sağlayıcısı) BTK tarafından yetkisi iptal edildiğinde, 5070 ve HMK 199 kapsamında eski delil paketinin kriptografik geçerliliği nasıl doğrulanır?
2 Cevap
Elektronik imza altyapısında bir Elektronik Sertifika Hizmet Sağlayıcısı'nın (ESHS) piyasadan çekilmesi, iflası veya BTK tarafından faaliyet yetkisinin iptal edilmesi durumu, 5070 sayılı Elektronik İmza Kanunu ve ilgili yönetmeliklerde öngörülmüş bir senaryodur. Böyle bir durumda geçmişte atılmış güvenli elektronik imzaların ve üretilmiş KEP delil paketlerinin kendiliğinden hükümsüz kalması söz konusu değildir.
Kriptografik ve hukuki geçerliliğin ispatı şu adımlarla yürütülür:
- İşlem Anındaki Geçerlilik İlkesi: Elektronik imzanın geçerliliği, mahkemenin inceleme yaptığı bugünkü tarihe göre değil, imzanın atıldığı ve zaman damgasının vurulduğu 'işlem anına' (signing time) göre değerlendirilir. Delil paketinde yer alan RFC 3161 uyumlu nitelikli zaman damgası, sertifikanın iptal edilmesinden veya ESHS'nin kapatılmasından önceki bir tarihi taşıyorsa, imza geçerliliğini muhafaza eder.
- BTK Arşiv Güven Listesi (TSL) ve İptal Kayıtları (CRL/OCSP): 5070 sayılı Kanun m. 16 gereğince faaliyeti sona eren ESHS, tüm sertifika durum verilerini, kök sertifikalarını ve sertifika iptal listelerini (CRL) BTK'ya devretmek zorundadır. BTK, bu sertifika kayıtlarını ve tarihsel geçerlilik zincirini güvenli arşivlerinde saklar. Bilirkişi incelemesinde, BTK Ulusal Güven Listesi (TSL - Trust Service Status List) geçmiş durum kayıtları üzerinden imzanın atıldığı tarihte sertifikanın geçerli olup olmadığı teyit edilir.
- CAdES-A / XAdES-A Standartları: Eğer KEP Hizmet Sağlayıcısı (KEPHS), ETSI standartları uyarınca delil paketine periyodik 'Arşiv Zaman Damgası' (Archive Time Stamp) eklemişse, kök sertifika iptal olsa dahi kriptografik özet zinciri korunmuş olur.
Mahkemede HMK m. 199 ve 205 uyarınca bu delilin geçerliliğini ispatlamak için, KEPHS'den ilgili tarihteki EYS delil doğrulama logları talep edilmeli ve gerekirse mahkeme aracılığıyla BTK'ya müzekkere yazılarak sertifikanın işlem anında 'aktif ve güvenli' durumda olduğunun bildirilmesi istenmelidir.
ESHS kapansa bile imzanın atıldığı tarihte geçerli olduğunu kanıtlayan nitelikli zaman damgası delil paketinin içindedir. BTK'nın kamuya açık kök sertifika geçmiş arşivlerinden (Historical TSL) o tarihteki iptal listeleri çekilerek imzanın geçerli olduğu bilirkişi marifetiyle çok rahat kanıtlanır.