E-İmza Klonlama ve Sahte Diploma İddiaları Hakkında Gerçekler

Her zamanki gibi yine piyasada konuşanlar yine söz konusu olaylarla ilgili en az fikri olanlar, bu konuda e-imza bayiliği bile yapmış biri olarak bir açıklama yapmak istedim.

1. E-İmza Klonlama İddiası Yanlıştır Teknik olarak mevcut bir e-imzanın klonlanması mümkün değildir. E-imzalar, donanım tabanlı güvenlik modüllerinde (genellikle akıllı kart veya USB token) saklanan özel anahtarlarla çalışır ve bu anahtarlar cihaz dışına çıkarılamaz. Bu nedenle “klonlama” iddiaları teknik olarak hatalıdır.
2. E-İmzaların Üretimi ve Yanlış Anlaşılan “Özel Şirketler” İfadesi E-imzalar, 5070 Sayılı Elektronik İmza Kanunu kapsamında Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yetkilendirilmiş Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) tarafından üretilir. Bunlar özel hukuk tüzel kişisi olabilir, ancak tamamen lisanslı ve BTK denetiminde çalışırlar. Yani rastgele bir özel şirket değil, yetkili ve denetlenen kuruluşlardır.
3. Sahte Kimlik ile Gerçek E-İmza Üretimi Dolandırıcılar, kimlik bilgileri çalınan kişilerin adına sahte kimlik kartı üreterek e-imza başvurusu yapabiliyor. Bu durumda üretilen e-imza teknik olarak gerçek e-imzadır, fakat başvuru sahibi gerçek kişi değildir.
4. E-İmza Üretim Zinciri ve Alt Bayiler Türkiye’de yetkili ESHS sayısı bir elin parmaklarını geçmez. Ancak bu kuruluşlar, bölgesel bayilik sistemi ile çalışır. Alt bayiler, düşük maliyetle e-imza başvurularını alır ve gerekli belgeleri merkeze iletir. Bu noktada kimlik doğrulama süreci, bayinin inisiyatifine ve personel kalitesine bağlıdır.
5. Bayilerin Tek Sorumlu Olmaması Bayiler bazen dolandırıcılar tarafından profesyonelce kandırılır. Sahte kimlik belgeleri ve inandırıcı sahtecilik teknikleriyle e-imza başvurusu yapılabilir. Ancak asıl problem, kimlik doğrulama sürecinin asgari ücretli, yeterince eğitim almamış personele bırakılmasıdır. Fiziksel doğrulama ve kimlik fotoğrafı ile başvuran kişinin eşleşmesi zorunlu olmalıdır.
6. Birden Fazla E-İmza Alabilme Sorunu Mevcut sistem, aynı kişinin farklı sağlayıcılardan birden fazla e-imza almasını engellemez. Hatta “e-imzam kayboldu” bahanesiyle tekrar e-imza çıkarılabilir. Bu, kötüye kullanıma açık bir durumdur.
7. E-İmza Kullanıldıktan Sonra Denetimsizlik Bir e-imza ile birçok resmi işlem (banka girişleri, sözleşme imzalama, devlet daireleri işlemleri) yapılabilir. Ancak bu süreçlerde ek doğrulama ve işlem izleme mekanizmaları çoğu zaman bulunmamaktadır.
8. Sistemsel Eksiklik ve Prosedür Güvenliği Kimlik bilgileri ele geçirildikten sonra yalnızca bankacılık ve telefon hattı değil, tapu devri ve e-imza başvurusu gibi kritik işlemler de yapılabilir. Bu noktada sorumluluk, e-imza sağlayıcı şirketlerden ziyade sistemin prosedürel eksikliklerine aittir. Siber güvenlik yalnızca teknik önlemlerle değil, prosedürlerin sürekli gözden geçirilmesi, denetlenmesi ve iyileştirilmesi ile sağlanır.