Yabancı Elektronik İmzalar (İmzaların Karşılıklı Tanınması)

Elektronik imza konusunda kafanızı karıştıran anlam kargaşaları yaşadığınız oldu mu? Kurumsal mühür, elektronik mühür, mali mühür, e-imza, dijital imza, sayısal imza, nitelikli elektronik imza, gelişmiş elektronik imza, güvenli elektronik imza ve daha birçoğunu sayabilirim. Yaklaşık 15 yıldır elektronik sertifikalar ve ilgili konular ile uğraşmama rağmen ben bile bazı ifadeleri duyduğumda hâlen çok şaşırıyorum. Bu yüzden ifade kargaşalarını gördüğümde elimden geldiğince durumu netleştirmeye çalışırım. Bu yazıda da yine e-imza ile ilgili bir konu olan ve belirli aralıklarla önüme gelen “e-imzaların karşılıklı tanınması” ifadesini elimden geldiğince sizlere anlatmaya çalışacağım.

Öncelikli olarak “e-imzaların karşılıklı tanınması” nedir? Bunun için elektronik imzanın ne olduğunu tanımlayarak başlayabiliriz: Elektronik belgedeki verilere ekli veya mantıksal olarak bağlı olan ve bir imzacı tarafından oluşturulan verilere e-imza denilmektedir. Bu tanım aslında genel bir tanımdır ve yasal olarak atılan e-imza ifadesini kapsamamaktadır. Yasal olarak geçerli olan ve “e-imzaların karşılıklı tanınması” ifadesinde bahsi geçen e-imza ise 5070 sayılı Elektronik İmza Kanunu’nda tanımlanan “güvenli elektronik” imzadır. Güvenli elektronik imza, e-imza tanımına ek olarak münhasıran imza sahibine bağlı olan, sadece imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracı ile oluşturulan, nitelikli elektronik sertifikaya (bir otorite tarafından verilen ve imza sahibinin imza doğrulama verisini ve kimlik bilgilerini birbirine bağlayan elektronik kayıt) dayanarak imza sahibinin kimliğinin tespitini sağlayan ve imzalanmış elektronik veride sonradan herhangi bir değişiklik yapılıp yapılmadığının tespitini sağlayan e-imza türüdür. Bu tanımdan sonra “e-imzaların karşılıklı tanınması” ifadesini “güvenli elektronik imzaların karşılıklı tanınması” olarak ifade etmemiz daha doğru olacaktır.

Tanımda geçen “karşılıklı tanınma” ifadesi ise bir ülkede bulunan elektronik sertifika hizmet sağlayıcısının (ESHS) dağıttığı güvenli elektronik imzaların başka ülkelerde de aynı hukuksal geçerliliğe sahip olması anlamına gelmektedir. Buradaki hukuksal geçerlilik ile ifade edilmek istenilen ise güvenli elektronik imzanın elle atılan imza ile aynı hukukî sonucu doğurmasıdır. Bu tanımlamalardan sonra “e-imzaların karşılıklı tanınması” ifadesinden, iki veya daha fazla ülkenin ESHS’leri tarafından oluşturulan verilerle atılan güvenli elektronik imzaların, oluşturuldukları ülke veya ülkeler dışında da el ile atılan ıslak imzaya eş değer olması için yapılan çalışma olduğu söylenebilir.

Bundan sonrası için gerekli bütün tanımları yaptığımıza göre gelin iki ve daha fazla ülke arasında güvenli elektronik imzaların ıslak imza ile aynı hukuki sonucu doğuracak şekilde nasıl kullanılabileceğine bakalım. Bunun için konunun iki farklı açıdan değerlendirilmesi gereklidir. Değerlendirilmesi gereken ilk konu teknik konulardır ve sanılanın aksine teknik konular, çözülmesi en kolay olan konulardır. 5070 sayılı Elektronik İmza Kanunu’nda, yabancı bir ülkede oluşturulmuş olan güvenli elektronik imzanın ülkemizde de hukuksal olarak geçerli kabul edilmesi için ülkemizdeki bir ESHS’nin, yabancı ülkedeki ESHS tarafından oluşturulan nitelikli elektronik sertifikayı kabul etmesi gerekmektedir. Buradaki ifadeler aslında ESHS’lerin karşılıklı olarak gerekli olan teknik isterlerini eşitlemeleri ve birlikte çalışabilir hale gelmeleri anlamına gelmektedir. Örnek vermek gerekirse, Türkiye’de kullanılan güncel algoritma ve parametrelerimiz imza oluşturma ve doğrulama verileri için en az RSA 2048 şeklinde düzenlenmektedir. Güvenli elektronik imzaların karşılıklı tanınması için görüşme yapılan ülkelerin bazılarında bu değerin RSA 2048’in altında olduğu görülmüştür. Bu durum, güvenlik riskleri doğurması ve güvenli elektronik imzanın güvenirliğini ciddi anlamda azaltması anlamına gelmektedir. Ülkemizde güvenlik için en az RSA 2048 kullanılırken, e-imza sistemimize RSA 2048’den daha düşük güvenirlikte güvenli elektronik imzaları da RSA 2048 gibi kabul etmemiz gerekmektedir.

İki ülke arasındaki algoritmaların farklı seviyelerde olması çözülmesi gereken teknik bir sorundur ve çözümü de mümkündür. Algoritma seviyesi düşük olan ülkenin algoritma değişikliğine gitmesi sorunu çözecektir. Peki, iki ülkenin de kullandığı parametreler güncel güvenlik gereklerini sağlamıyorsa ne yapılması gereklidir? Bu sorunun cevabı, iki ülkenin de parametrelerini ETSI TS 119 312 standardına göre güncellemeleri olacaktır. Fakat ilgili sorunu bu şekilde değerlendirmek yerine, Avrupa Birliği tarafından yayımlanan eIDAS düzenlemesinin esas alınarak genel bir çerçevenin oluşturulması daha doğru olacaktır. İki ülke veya daha fazla ülke arasındaki teknik gerekliliklerin uyuşmazlığı için ülkeler arasında bir düzenleme yapmak yerine, eIDAS’a göre bir düzenleme yaparak ülkelerin teknik altyapılarını buna uygun şekilde güncel tutmaları, bütün ülkelerin teknik olarak birlikte çalışabilirliğini sağlayacaktır. Yani herhangi iki ülkedeki ESHS’ler çok az bir çaba ile birbirlerine kefil olabileceklerdir.

Teknik gerekliliklerin eIDAS ile sağlanmasından sonra ülkeler arası güvenli elektronik imza kullanımı için neler yapılması gerekmektedir? Burada daha teknik bir konu olan sertifika zinciri konusuna değinmemiz gerekmektedir. ESHS, kullanıcılarına güvenli elektronik imza oluşturabilmeleri için elektronik imza verisi (açık ve özel anahtar) oluşturur ve elektronik imza verisinin hukuksal olarak geçerli olması ve güvenli elektronik imza oluşturması için nitelikli elektronik sertifika oluşturur; elektronik imza verisi ve nitelikli elektronik sertifikayı da birbirleri ile eşleyerek kullanıcılara güvenli bir şekilde teslim eder. Burada kullanıcıya verilen nitelikli elektronik sertifikanın oluşturulması için ESHS’lerin kendileri için kök ve alt kök olmak üzere iki farklı nitelikli elektronik sertifika daha oluşturması gerekmektedir. Kök sertifika, ESHS’lerin üreteceği bütün sertifikaların nereden geldiğini ve hukuksal olarak yetkisini göstermektedir. Bu yüzden yabancı ülkeden alınmış bir nitelikli elektronik sertifikanın da ülkemizde tanımlanması gerekmektedir. Bunun için kullanılan yöntemlerden biri, iki ülkede bulunan ESHS’nin kök sertifikalarını karşılıklı olarak imzalamasıdır. Bu işleme “çapraz sertifikasyon” denilmektedir. Bu işlemin yapılmasından sonra yabancı ülkedeki ESHS’nin kök sertifikası da teknik olarak ülkemizde tanınır hale gelmektedir.

Değerlendirilmesi gereken ikinci konu ise güvenli elektronik imzaların karşılıklı kullanılacağı ülkelerin arasında yapacakları anlaşmadır. Bu anlaşma, asgari olarak şu konuları içermelidir: ESHS faaliyetlerinin düzenli denetimi ve uygunsuzluk durumundaki yaptırımları, ESHS’lerin yapacakları ihlaller sonucunda üçüncü kişilere verdiği zararlar, ihlaller için sigortanın yaptırılması, bir uyuşmazlık durumunda ESHS kayıtlarının incelenmesi veya talep edilmesi şeklindedir. Ülkeler arasında yapılacak olan anlaşmaya eklenmesi gereken ve en çok sorunun çıktığı konu olan ülkeler arasındaki hukuksal mevzuatın da karşılıklı olarak netleştirilmesi gerekmektedir.

Her ülkenin kendine özgü yapısı ve kanunları bulunmaktadır. Yapı gereği bazı kanunlar bazı ülkelerde daha çok benzer olurken, bazıları ise büyük oranda farklılık göstermektedir. Bu durum 5070 sayılı Elektronik İmza Kanunu’nda, “Yabancı bir ülkede kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından verilen elektronik sertifikaların hukukî sonuçları milletlerarası anlaşmalarla belirlenir.” şeklinde ifade edilmektedir. Ülkeler arasında anlaşma yapılırken yapılan en büyük hata ise güvenli elektronik imza kullanımı için bütün senaryoları kapsayacak şekilde düzenleme yapılmaya çalışılması olmaktadır. Bu durum ciddi sorunlar doğurmakla birlikte, bir süre sonra anlaşmanın uygulanamaz hale gelmesine neden olmaktadır. Bu durumda en iyi senaryo, iki ülke arasındaki ilgili hukuksal yapının büyük oranda benzer olması ve farklılıklar veya bir anlaşmazlıkta neler yapılacağının, 5070 sayılı kanunda belirtildiği gibi iki ülke arasında önceden yazılı bir şekilde sonuca bağlanmış olmasıdır. En kötü senaryo ise büyük oranda hukuksal farklılıkların olması ve yaşanılacak sorunun çözümlerinin daha önceden iki ülke arasında yapılan anlaşma ile kayıt altına alınmamış olması olacaktır.

Hukuksal açıdan yapılan değerlendirmenin sadece güvenli elektronik imza ve ESHS’ler için olmadığını ve daha genel bir durum olduğunu fark etmişsinizdir. Bu durum, iki ülke arasında güvenli elektronik imzaların karşılıklı tanınması için çalışmaların yapılmasından sonra uygulama aşamasında en büyük sorun olarak karşımıza çıkmaktadır. Bu yüzden iki ülke arasındaki anlaşmaların, belirli bir senaryo bazında, iki ülke hukukunu ve anlaşmazlık durumlarının çözümlerini de içerecek şekilde çalışılması ve imza altına alınması gerekmektedir.