Elektronik imza (e-imza) ve mobil imza, bir belgeyi imzalayan kişinin kimliğini ve belgenin imza sonrası değişmediğini matematiksel olarak kanıtlayan araçlardır. 5070 sayılı Elektronik İmza Kanunu kapsamında güvenli elektronik imza, ıslak imza ile aynı hukuki sonucu doğurur. Bu denklik, imzanın arkasındaki teknik güvenliğin en küçük halkasına kadar sağlam olmasını zorunlu kılar.

Elektronik imza güvenliği, dijital bir onayın gerçekten o kişiye ait olduğunu ve belgenin sonradan bir harfinin bile değişmediğini reddedilemez biçimde kanıtlama yeteneğidir.

Arkasındaki Mekanizma

E-imza, asimetrik kriptografiyle çalışır: imzalayan kişinin yalnızca kendisinde bulunan özel anahtarı vardır ve bu anahtarla belgenin özetini (hash) şifreler; karşı taraf ise herkese açık sertifikadaki genel anahtarla bunu doğrular. Bu güven zincirinin ayakta durabilmesi, anahtarları üreten ve sertifikaları imzalayan Açık anahtar altyapısı sayesinde mümkün olur. Türkiye’de sertifikaları BTK yetkili Elektronik Sertifika Hizmet Sağlayıcıları verir.

Klasik e-imzada özel anahtar, PIN korumalı bir akıllı kart ya da USB token içinde saklanır ve anahtar bu donanımdan asla dışarı çıkmaz. İmzalama işlemi kartın içinde gerçekleşir; bilgisayara sadece imzalanacak özet gider, imzalı sonuç geri döner. Bu tasarım, bilgisayara bulaşan bir zararlı yazılımın bile özel anahtarı doğrudan kopyalamasını engeller.

Mobil İmzanın Farkı

Mobil imzada özel anahtar, kullanıcının SIM kartının güvenli alanında saklanır ve imzalama telefondan onaylanır. Kullanıcı adı deneyimi kolaydır ama saldırı yüzeyi de değişir. En kritik tehdit, sahibinin haberi olmadan yapılan SIM swap (numara taşıma dolandırıcılığı) ve sahte imza taleplerinin sosyal mühendislikle onaylatılmasıdır. Bu yüzden mobil imza, telefon tabanlı diğer doğrulamalarla aynı Mobil kimlik doğrulama riskleri havuzunu paylaşır ve operatör tarafında güçlü SIM değişikliği kontrolleri gerektirir.

Pratikteki Zayıf Halkalar

Kriptografi sağlam olsa da istismar genellikle çevreden gelir. Kullanıcının PIN’ini omuz sörfüyle ele geçirmek, sahte bir kurumsal portalda imza talebini onaylatmak ya da ekranda gösterilen belgeyle gerçekte imzalanan belgeyi farklılaştıran bir ‘ne görürsen onu imzalarsın’ saldırısı (WYSIWYS ihlali) bunların başında gelir. Bu tehditlere karşı imza öncesi belge özetinin kullanıcıya net gösterilmesi ve kurumsal erişimlerde ek doğrulama katmanı beklenir.

• Özel anahtarın donanımda (kart/SIM) üretilmesi ve dışarı çıkmaması
• İmzalanacak belgenin özetinin kullanıcıya onaydan önce gösterilmesi
• SIM swap’a karşı operatör tarafında güçlü kimlik doğrulama
• Sertifikaların iptal listesi (CRL/OCSP) ile anlık geçerlilik kontrolü
• Kurumsal imza portallarına erişimde ek koruma

Kurumsal Kullanımda Bütünlük

Bir kurum e-imzayı sözleşme, e-fatura ve resmi yazışma için kullandığında, imza altyapısı doğrudan iş süreçlerinin hukuki temeli haline gelir. Buradaki risk yalnızca imza aracında değil; onu çevreleyen kimlik yönetimi, portal erişimi ve loglama zincirindedir. Erişimi güçlendirmek için imzalama portallarına girişte İki faktörlü kimlik doğrulama uygulamak, çalınan bir paroladan imza yetkisine sıçramayı zorlaştırır. Bu bileşenlerin uçtan uca bir arada değerlendirilmesi için Altyapı ve mimari gözden geçirme hizmetimiz imza akışındaki gizli zayıflıkları görünür kılar.