Zaman damgası otoritesi (TSA), kendisine sunulan bir verinin özet değerini alıp buna güvenilir bir saatten okunan zamanı ekleyerek imzalayan bağımsız bir güven hizmetidir. Sonuçta ortaya çıkan zaman damgası jetonu (timestamp token), o verinin damganın basıldığı andan önce kesinlikle var olduğunu üçüncü taraflara kanıtlar. Böylece bir belgenin ya da işlemin geriye dönük olarak tarihlendirilmesi ya da sonradan üretilip eski gösterilmesi engellenmiş olur.

TSA, bir verinin belirli bir andan önce var olduğunu, veriyi görmeden yalnızca özetini imzalayarak matematiksel kesinlikte tarihlendiren bağımsız bir tanıktır.

Nasıl Çalışır?

İstemci, damgalanacak veriyi hiçbir zaman TSA’ya göndermez; bunun yerine SHA-256 gibi bir algoritmayla verinin özetini (hash) hesaplar ve yalnızca bu özeti RFC 3161 formatındaki bir zaman damgası isteğiyle otoriteye iletir. TSA bu özeti, güvenilir bir zaman kaynağından okuduğu anı ve bir seri numarasını birleştirip kendi özel anahtarıyla imzalar. Bu yaklaşım verinin gizliliğini bozmadan tarihlendirme yapılmasını sağlar; TSA belgenin içeriğini asla görmez.

Damganın güvenilirliği iki temele dayanır: doğru zaman ve korunan anahtar. Otoriteler saatlerini UTC’ye çıpalamak için genellikle atomik saatlere veya kalibre edilmiş NTP/GPS kaynaklarına bağlanır ve imzalama anahtarını bir donanım güvenlik modülü içinde saklar. Anahtar ele geçirilirse geçmişe yönelik sahte damgalar üretilebileceği için, bu anahtarın fiziksel korunması hizmetin bütününün dayanağıdır.

Dijital İmza ve PKI ile İlişkisi

Zaman damgası tek başına bir kimlik doğrulaması değildir; asıl gücü bir dijital imza ile birleştiğinde ortaya çıkar. İmzalar zamanla kırılganlaşır: imzacının sertifikası iptal edilebilir ya da süresi dolabilir. Damga, imzanın sertifika hâlâ geçerliyken atıldığını sabitlediği için, sertifika sonradan iptal edilse bile imzanın o an geçerli olduğu ispatlanabilir. Bu özellik, uzun ömürlü arşiv imzalarının (PAdES-LTV, XAdES gibi) temelini oluşturur.

TSA’nın imzasının doğrulanabilmesi, arkasındaki güven zincirine bağlıdır. Otoritenin sertifikası bir sertifika otoritesi tarafından verilir ve bu zincir bir açık anahtar altyapısı içinde köklü bir güven çıpasına kadar izlenir. Damgayı doğrulayan taraf, TSA sertifikasının bu zincir üzerinden geçerli ve zaman damgası kullanımı için yetkilendirilmiş olduğunu denetler.

Pratikte Nerede Kullanılır?

• E-imzalı sözleşme ve resmi belgelerin imzalanma anını yasal olarak sabitlemek
• Kaynak kodu ve yazılım paketlerini imzalarken derleme anını kanıtlamak
• Adli incelemede toplanan delillerin bütünlüğünü ve toplanma zamanını belgelemek
• Fikri mülkiyet ve buluşlarda bir belgenin önceliğini (öncel tarih) ispatlamak
• Uzun süre saklanacak faturalarda ve muhasebe kayıtlarında değişmezliği güvence altına almak

Kurumsal açıdan TSA, inkâr edilemezlik (non-repudiation) ve denetlenebilirlik sağlar: bir tarafın bir belgeyi imzaladığı anı sonradan reddetmesini zorlaştırır ve düzenleyici incelemelerde zaman çizelgesini tartışılmaz kılar. Bu güvenin sürdürülmesi, otoritenin saatinin doğruluğuna ve anahtar altyapısının sağlamlığına dayandığından, hizmeti barındıran mimarinin dış gözle sınanması değerlidir; bu noktada bir altyapı ve mimari gözden geçirme çalışması zaman damgası zincirindeki zayıf halkaları erken ortaya çıkarır.