Gelişmiş Elektronik İmza (AES) Nedir? Kimlik Doğrulama, Hukuki Geçerlilik ve Teknik Altyapı
Gelişmiş elektronik imza (AES), bir imza görselinin ötesine geçerek imzayı imzacıya bağlayan, imzacının kimliğini doğrulayan ve belgenin sonradan değiştirilmediğini gösterebilen bir dijital imza seviyesidir. En kritik nokta şudur: AES belirli bir teknoloji değil, karşılanması gereken dört şarttan oluşan işlevsel bir testtir. Bu yazıda AES’in ne olduğunu, kimliğin nasıl doğrulandığını (KYC), basit (SES) ve nitelikli (QES) seviyelerden farkını, ispat yükünü ve Türk hukukundaki yerini ele alıyoruz. Terminolojinin temeli için elektronik imza nedir yazımız iyi bir başlangıçtır.
Belgelerinizi dakikalar içinde kimlik doğrulamalı biçimde imzaya göndermek için imzala.org üzerinden ücretsiz hesap açabilirsiniz.
AES Bir Teknoloji Değil, İşlevsel Bir Testtir
Avrupa Birliği’nin eIDAS Tüzüğü (910/2014), gelişmiş elektronik imzayı Madde 26’da dört şartla tanımlar:
- İmzacıya benzersiz biçimde bağlı olması
- İmzacıyı tanımlayabilmesi
- İmza oluşturma verisinin, imzacının yüksek güven düzeyinde münhasır kontrolünde kullanılması
- Sonraki değişikliklerin tespit edilebilmesi
Bu dört şart kümülatiftir: biri bile eksikse imza AES sayılmaz. Önemli bir nüans, eIDAS’ın AES için bir sertifika hizmet sağlayıcısından alınmış sertifikayı zorunlu tutmamasıdır. AES teknoloji-nötr bir ölçüttür; açık anahtar altyapısı (PKI) ve sertifikalar, bu şartları kanıtlamanın en yaygın yolu olduğu için kullanılır, tek yol oldukları için değil. Uygulamada ise ispat gücü nedeniyle ticari çözümlerin neredeyse tamamı PKI ve zaman damgası tabanlı bir bütünlük mühürü kullanır.
Dördüncü kriterin (imza verisinin imzacının münhasır kontrolünde olması) sunucu tarafında tutulan anahtarlarla ne ölçüde karşılandığı teknik ve hukuki bir tartışma konusudur. Bu yüzden bir imzanın AES olarak nitelendirilmesi mutlak değildir; somut sürecin gücüne ve uzman değerlendirmesine bağlıdır.
AES Nasıl Sağlanır? Kimlik Doğrulama (KYC) Yöntemleri
AES’i “gelişmiş” yapan şey, imza görselinin kendisi değil, imzacının kimliğinin doğrulanma biçimidir. eIDAS pazarındaki dijital imza sağlayıcıları, Madde 26’daki “imzacıyı tanımlama” ve “münhasır kontrol” şartlarını karşılamak için çeşitli kimlik doğrulama yöntemlerini bir kanıt paketi olarak birleştirir:
- E-posta ve SMS tek kullanımlık kod (OTP): En hafif yöntem. Tek başına genellikle zayıf kabul edilir; çoğu sağlayıcı bunu başka bir kanıtla (örneğin kimlik belgesiyle) birlikte kullanır.
- Kimlik belgesi ve selfie / canlılık kontrolü (uzaktan KYC): İmzacı kimlik kartı, pasaport veya ehliyetini kameraya gösterir, ardından bir selfie veya canlılık testiyle belgedeki kişiyle eşleştirilir. Yüksek güvenceli AES akışlarında en yaygın yöntemdir.
- Video ile kimlik tespiti (video-ident): İmzacının kimliği canlı veya kaydedilmiş bir video görüşmesiyle doğrulanır. Aynı zamanda nitelikli imza (QES) için de kullanılan bir yöntemdir.
- Banka kimliği veya ulusal e-kimlik: Bazı ülkelerde imzacı, banka veya devlet e-kimlik sistemiyle giriş yaparak kimliğini kanıtlar (örneğin İskandinav ülkelerindeki BankID, Hollanda’daki iDIN).
- Bilgi tabanlı doğrulama (KBA): İmzacıya yalnızca kendisinin bilebileceği sorular sorulur. Zayıf bir yöntemdir ve genellikle yalnızca yardımcı bir faktör olarak kullanılır, tek başına AES için yeterli sayılmaz.
- Davranışsal biyometri: İmza çiziminin basınç, hız ve ivme gibi parametreleri kanıt paketine eklenebilir. Bu parametreler özel nitelikli kişisel veridir ve ancak açık rıza ile işlenebilir (aşağıdaki güvenlik bölümüne bakın).
İmzala.org’un yaklaşımı. Varsayılan akış basit elektronik imza (SES) seviyesindedir: kullanıcı imzasını ekranda çizer, belge TÜBİTAK KAMU SM zaman damgasıyla mühürlenir. Telefon OTP ve T.C. Kimlik (NVI) doğrulaması adımları tamamlandıkça sistem otomatik olarak daha yüksek güvence uygular; bir imza seviyesini elle seçmezsiniz, düzey gerçekleşen doğrulama adımlarına göre belirlenir. Bu, imzayı AES’in “imzacıyı tanımlama” kriterine yaklaştıran temel mekanizmadır.
AES Tek Bir Bar Değil, Bir Aralıktır
AES sık yapılan bir yanlış anlamanın konusudur: “AES” etiketi tek bir güvence seviyesini garanti etmez. Yalnızca e-posta ile doğrulanan bir imza da, kimlik belgesi ve canlılık kontrolüyle doğrulanan bir imza da teknik olarak “AES” adını taşıyabilir; ama bir uyuşmazlıkta ispat değerleri çok farklıdır. Bu yüzden AES’i tek bir eşik değil, bir aralık olarak düşünmek doğru olur: kimlik doğrulama ne kadar güçlüyse, imzanın ispat gücü o kadar yüksektir. Pratik sonuç: bir belgeyi imzaya gönderirken beklenen riske uygun doğrulama seviyesini seçmek önemlidir.
SES, AES ve QES: Üç Kademe ve Türk Hukukundaki Karşılığı
Bu üç seviyeli ayrım (SES, AES, QES) esas olarak AB’nin eIDAS düzenlemesinden gelir. Türk hukuku temelde ikili bir ayrım yapar: sıradan elektronik imza (HMK m.199 kapsamında belge) ve güvenli elektronik imza (5070 m.5 ve HMK m.205/2 kapsamında senet). Aşağıda her seviyeyi Türk hukukundaki karşılığıyla birlikte veriyoruz.
Basit Elektronik İmza (SES)
E-posta sonuna ad yazma, ekranda parmakla veya fareyle imza çizme gibi temel biçimlerdir. Kimlik ve zaman kanıtı sınırlıdır. Türk hukukunda HMK m.199 kapsamında belge niteliği taşır.
Gelişmiş Elektronik İmza (AES)
SES üzerine kimlik doğrulama ve bütünlük koruması eklenmiş seviyedir. İmzala.org’da kimlik doğrulama adımları tamamlandığında akış bu seviyeye yaklaşır: imza çizilir, telefon OTP ve T.C. Kimlik doğrulamasıyla kimlik teyit edilir, belge zaman damgasıyla işaretlenir ve bütünlüğü korunur. Türk hukukunda AES de SES gibi HMK m.199 kapsamında belge niteliğindedir; ispat gücü güçlü olabilir ancak kendiliğinden kesin delil (senet) değildir.
Nitelikli Elektronik İmza (QES)
Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) tarafından kişiye özel üretilen nitelikli sertifika ve güvenli imza oluşturma aracıyla (USB token, akıllı kart, mobil imza) atılan imzadır. 5070 m.5 ve HMK m.205/2 uyarınca ıslak imza ile eşdeğer, senet hükmündedir. İmzala.org, mevcut USB token’ınızdaki nitelikli sertifikayla imzalamayı E-İmzala üzerinden destekler; İmzala.org bir ESHS değildir ve nitelikli sertifika üretmez ya da satmaz.
En Kritik Pratik Fark: İspat Yükü
Seviyeler arasındaki en somut fark, bir uyuşmazlıkta ispat yükünün kimde olduğudur:
- Nitelikli imza (QES / güvenli elektronik imza): Bir karineden yararlanır. İmzaya itiraz eden taraf, sahtelik veya bütünlük ihlalini ispatlamak zorundadır. Türk hukukunda güvenli elektronik imzayla oluşturulan veri senet hükmündedir (HMK m.205/2).
- AES ve SES: Böyle bir karine yoktur. İmzaya dayanan taraf, gerektiğinde imzalama sürecinin güvenilirliğini (kimlik, bütünlük, kontrol) somut kanıtlarla göstermek durumundadır. İşte bu noktada zaman damgası ve işlem kaydı (IP, cihaz, doğrulama zamanı) devreye girer ve ispatı kolaylaştırır.
eIDAS Madde 25 uyarınca bir imza, yalnızca elektronik olduğu için veya nitelikli imza şartlarını karşılamadığı için delil olma değerinden yoksun bırakılamaz. Yani SES ve AES de mahkemede delil olarak sunulabilir; farklı olan, ispat yükünün dağılımıdır.
Teknik Olgunluk, Hukuki Kademeyle Aynı Şey Değildir
Sık karıştırılan iki bağımsız eksen vardır ve bunları ayırmak AES’i doğru anlamanın anahtarıdır:
1. Hukuki kademe (SES / AES / QES): İmzanın hukuki gücünü belirler. Bu kademe, kullanılan sertifikanın türüne ve imza oluşturma aracına bağlıdır, imzanın dosya biçimine değil.
2. İmza biçimi ve teknik doğrulama olgunluğu: PAdES (PDF), CAdES (ikili/CMS) ve XAdES (XML), imzayı belgeye gömen ETSI biçim aileleridir; bunlar hukuki kademeye göre nötrdür. Her biçimin doğrulama olgunluğu profilleri vardır:
- B-B: Temel imza (kısa dönem doğrulanabilirlik).
- B-T: Zaman damgası eklenir; imzanın belirli bir anda var olduğunu gösterir.
- B-LT: Sertifika zinciri ve iptal bilgisi (OCSP/CRL) belgeye gömülür; doğrulama altyapısı çevrimdışı olsa bile geçerlilik korunur.
- B-LTA: Arşiv zaman damgası eklenir; algoritma veya sertifika süresi dolsa bile uzun dönem arşiv bütünlüğünü destekler.
Yani B-B / B-T / B-LT / B-LTA hukuki seviye değil, teknik doğrulama olgunluğu basamaklarıdır. AES-düzeyinde bir sertifikayla üretilmiş B-B profilinde bir imza da hukuken AES’tir; yalnızca uzun dönemli ispat için daha az sağlamdır.
İmzala.org, imzalanan belgeyi TÜBİTAK KAMU SM zaman damgasıyla (RFC 3161) işaretler; imza altyapısı, uluslararası dijital imza standartlarını (ETSI PAdES EN 319 142, CAdES EN 319 122) referans alacak biçimde geliştirilmiştir. Ayrıntı: PAdES, CAdES, XAdES imza formatları ve uzun dönem doğrulama (B-LT / B-LTA).
eIDAS 2.0 ve Avrupa Dijital Kimlik Cüzdanı
2024’te yürürlüğe giren eIDAS 2.0 (Tüzük 2024/1183) ile üç imza seviyesi (SES / AES / QES) ve nitelikli imzanın hukuki etkisi değişmedi. Başlıca yenilik erişimdir: Avrupa Dijital Kimlik Cüzdanı sayesinde vatandaşlar, güvenli imza oluşturma aracını akıllı telefonlarında yazılım tabanlı biçimde taşıyabilecek; böylece nitelikli imza fiziksel bir kart veya token olmadan da erişilebilir hâle gelecektir. AES tarafında kullanılan kimlik doğrulama yöntemleri ise sağlayıcıya bağlı olmaya devam eder.
Türk Hukukundaki Yer
- 5070 m.3: elektronik imza tanımı; m.4: güvenli elektronik imza tanımı
- 5070 m.5: Güvenli elektronik imza ıslak imza ile eşdeğerdir (nitelikli imza için); resmî şekle veya özel bir merasime tabi işlemler ile teminat sözleşmeleri bu kapsamın dışındadır (m.5/2)
- HMK m.199: Elektronik veriler belge sayılır; m.205/2: güvenli elektronik imzayla oluşturulan veriler senet hükmündedir
- TBK m.14-15: Yazılı şekil ve elektronik imza
Türk mahkemeleri elektronik ortamda oluşturulan belgeleri delil olarak değerlendirir; delil değeri, zaman damgası ve bütünlük doğrulamasıyla birlikte hâkim tarafından takdir edilir. Ayrıntı: HMK m.199-205 analizi ve Yargıtay emsalleri.
Güvenlik ve Biyometrik Veri
- Aktarımda TLS şifrelemesi ve güvenli depolama
- Belgenin özeti (SHA-256) imzaya bağlanarak bütünlüğün korunması
- TÜBİTAK KAMU SM zaman damgası (RFC 3161)
- Kriptografik anahtar yönetimi
Davranışsal biyometrik veri (imza çiziminin basınç, hız, ivme gibi parametreleri) veya yüz tanıma gibi veriler özel nitelikli kişisel veridir ve KVKK m.6 kapsamında açık rıza ile işlenir. İmzala.org’un varsayılan görsel imza akışı bu davranışsal parametreleri toplamaz; biyometrik doğrulama özelliği yol haritamızda olup henüz aktif değildir. Aktif olduğunda KVKK m.6 çerçevesinde açık rıza ve aydınlatma ile sunulacaktır. Ayrıntı: KVKK uyumlu imza süreçleri.
AES Ne Zaman Yeterli?
Gelişmiş seviyedeki dijital imza; birçok insan kaynakları belgesi (örneğin gizlilik taahhütleri, onay ve bilgilendirme formları), satış ve tedarik sözleşmeleri, finans ve sigortada müşteri onboarding formları gibi orta riskli günlük belgelerin büyük çoğunluğu için pratik bir tercihtir. Nitelikli imzanın (donanım token, video ile kimlik tespiti, ESHS sertifikası) getirdiği maliyet ve sürtünme, bu belgeler için çoğu zaman gerekmez. Buna karşılık bazı iş hukuku belgeleri (örneğin belirli süreli iş sözleşmesi veya fesih bildirimi) İş Kanunu uyarınca yazılı şekil ya da daha güçlü imza gerektirebilir; bu belgelerde uygun imza seviyesini önceden değerlendirmeniz önerilir.
Buna karşılık bazı işlemler kanunen daha güçlü imza veya resmî şekil ister: kanunun güvenli elektronik imza zorunlu tuttuğu işlemler, resmî şekle tabi işlemler (örneğin taşınmaz devri tapuda) ve teminat sözleşmeleri (kefalet gibi) dijital imza kapsamı dışındadır. Hangi belgede hangi seviyenin yeterli olduğunu önceden değerlendirmeniz önerilir.
Geliştiriciler İçin Entegrasyon
İmzala.org, şablondan sözleşme oluşturma, durum sorgulama ve webhook bildirimleri için bir REST API sunar. Ayrıntı: API entegrasyon rehberi.
Sonuç
Gelişmiş elektronik imza (AES), basit imzaya göre kimlik doğrulama ve bütünlük koruması ekleyen işlevsel bir imza seviyesidir. Tek bir teknoloji değil, dört şartla tanımlanan bir testtir ve kimlik doğrulamanın gücüne göre bir aralık oluşturur. İmzala.org’da varsayılan akış SES seviyesindedir ve telefon OTP ile T.C. Kimlik doğrulaması eklendikçe daha yüksek güvenceye yaklaşır. Islak imza ile birebir eşdeğerlik (senet) için Nitelikli Elektronik İmza gerekir; resmî şekle tabi işlemler ise ilgili resmî makamda yapılır.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Bir işlem için hangi imza seviyesinin gerektiği ilgili mevzuata ve somut duruma göre değişir.
İlgili rehberler: