PKI (Açık Anahtar Altyapısı) Nedir?

Günümüzde internet kullanımının yaygınlaşması özellikle elektronik bankacılık ve elektronik ticaret sistemleri ile elektronik haberleşme ve elektronik eğitim platformlarının kullanıma alınmasını beraberinde getirdi. İnsanların evden veya işyerlerinden tüm ihtiyaçlarını elektronik platform ve uygulamalar ile  yürütmesi kullanım açısından çok büyük kolaylıklar sağlıyor olsada, her zaman ifade ettiğimiz gibi bu platformların varoluşu yine beraberinde çeşitli güvenlik açıklarını doğurmaktadır.

Özellikle elektronik bankacılık ve elektronik ticaret platformlarındaki güvenlik açıkları neticesinde ortaya çıkan kayıplar (ticari casusluk, para aktarımı, yetkisiz erişim v.s.) milyon dolarlar mertebesine ulaşmıştır. Alınan önlemler her defasında yine hem insana hemde teknolojiye bağımlı olarak kırılabilir olmuştur. Özellikle bu uygulamalarda kullanılan statik şifreler ile buna benzer statik kimlik tanıma yöntemleri güvenliğin sağlanmasında aktif rol oynasa da gerçek bir kimlik tanıma işlevi sağlamamaktadırlar. Bu nedenle örneğin bankacılık işlemlerinin tam ve güvenli olarak elektronik ortamda yapılabilmesi için, onay ve yetki güvenliğinin sağlanması, giderilmesi gereken eksikliklerin başında yer almaktadır.

Birçok Avrupa ülkesinde e-devlet modelleri ve buna bağlı uygulamalar kullanıma geçirilmiştir. Aynı şekilde böyle platformlar için gerçek bir kişisel kimlik tanıma sisteminin oluşturulması kaçınılmazdır. Internet üzerinde yapılan işlemlerde, elektronik mesaj gönderen veya işlem gerçekleştiren kişinin kimliğinin belirlenmesi, yasalar önünde delil niteliği taşıması ihtiyacı nedeniyle dijital sertifika sistemi oluşturulmuştur. Tüm dijital sertifika sistemleri PKI (Public Key Infrastructure) Açık Anahtar Altyapısı üzerine kurulmuştur. Bu yapıda en üstte sertifika tanzim eden kurum, ortada sertifika dağıtımı konusunda yetkili kurumlar ile en altta kullanıcıların/kişilerin bulunduğu güvene dayalı bir düzen mevcuttur.Kullanılan dijital sertifikalar 1 veya 3 yıllık periyodlarda kullanılmak üzere dağıtılır.Kullanım süresi dolan dijital sertifika ise yenilenir.

PKI (Public Key Infrastructure) Açık anahtar altyapısı,  Veri/Bilgi iletişiminde açık anahtarlı kriptografinin yaygın ve güvenli olarak kullanılabilmesini sağlayan ve birbirleriyle eşgüdüm içinde çalışan anahtar üretimi, anahtar yönetimi, onay kurumu, sayısal noterlik, zaman damgası gibi hizmetlerin tümünü kapsamaktadır. Açık Anahtar Altyapısı modellerine göre; tek anahtarlı simetrik şifreleme sistemlerinde, veriyi şifrelemek icin kullanılan anahtar ile şifrelenmiş veriyi okuyabilmek için aynı anahtar kullanılmak zorundadır. Karşılıklı olarak şifreli haberleşebilmek için her iki taraf simetrik şiflereleri birbirleriyle paylaşmak zorundadırlar. Açık anahtarlı şifreleme sistemlerinde bu durum farklıdır. Bu sistemde açık anahtar ve özel anahtar bulunmaktadır. Bu anahtarlar tek yönlü çalışmakta ve birbirlerini tamamlamaktadırlar. Açık anahtar veriyi şifrelemek özel anahtar ise açık anahtar tarafından şifrelenmiş veriyi deşifre etmek rollerini üstlenmişlerdir. Özel anahtarlar sadece ait oldukları kişide bulunurlar. Fakat açık anahtarlar public durumdadırlar ve dağıtımları açık olarak yapılır. PKI; gizlilik, bütünlük, ve kimlik kontrolü fonksiyonlarını kullanıcıların dijital sertifika kullanması yolu ile sağlar. Sertifika dijital bir kimlik olduğu gibi aynı zamanda sahibine ait bilgiler ile gerekli algoritma anahtarlarını üzerinde bulundurur. Sertifikalar kişiye özeldirler. Güvenli bir şekilde ve güvenli ortamlarda muhafaza edilmeleri gerekmektedir. Şayet sertifikalar sabit disk gibi güvensiz ortamlarda muhafaza edilirse, kolayca değiştirilebilirler ve başka kişiler tarafından kötü niyetli olarak kullanılabilirler. Bu aslında PKI yapısının bir güvenlik açığıdır. Bu açık ancak ve depolama aracı olarak akıllı kartların kullanımıyla ortadan kaldırılır. Akıllı kartların kullanımı ve taşınması yapısı nedeniyle oldukça kolaydır. Akıllı kartlar bir kredi kartına benzerler(Günümüzde kredi kartları akıllı kartlar olarak dağıtılmaktadır). Akıllı kartlar sahip oldukları güvenlik mekanizmaları sayesinde fiziksel, elektriksel ve kimyasal (kart içindeki bilgiyi çalma amaçlı yapılan tüm saldırılar) etkilere karşı kendilerini kilitleyebilirler. Kart üzerine gizli anahtarlar yüklendiğinde kesinlikle bu bilgiler kartan okunamazlar ve kullanımları bir şifre ile korunur (PIN kodu).

PKI üzerinde çalışan elektronik imza ile, internet üzerinde yapılan tüm elektronik işlemlerin (e-mail gönderimi/alımı, B2C, elektronik bankacılık uygulamaları, e-devlet platformları) ve gönderilen her türlü bilginin iletimi esnasında, bilgiyi gönderen kişinin  kendisi olduğunun, bilgiyi gönderen kişinin gönderdiği bilginin içeriğini bildiğinin, gönderilen bilginin taşıma esnasında değiştirilmediginin, bilgiyi gönderen kişinin bilgiyi gönderdiğini inkar edemeyeceğinin garantisi ve güvenliği sağlanır. Elektronik imza  kısaca kişiye özgü elektronik işarettir. Elektronik imza kuruma veya kişilere özgü olabilir, imzaya sahip olanın diğer bir adıyla pasaport’u olarak da bilinir. Elektronik imzalar, güvenilir olarak kabul görmüş, sertifika otoritesi denen kurumlar tarafından dağıtılır ve takip edilir. Sertifika Otoriteleri, tüm ülkelerde kimlik üreten makamlar konumundadır.

Türkiyede de elektronik imza yasasının devreye alınması, bilgisayar ve internetin sosyal ve ekonomik yaşamın her alanına girmesi nedeniyle gündeme gelmiş ve elektronik ticarete ilişkin diğer kanuni düzenlemelerin de önünü açmasını öngördüğü için “Elektronik İmzanın Düzenlenmesi Hakkındaki Kanun” kabul edilmiştir. Özellikle birçok finans kuruluşu dijital imza ve PKI ile ilgili çalışmalara başlamış ve kullanıma sokulması hızlandırılmıştır.