e-İmzada Zaman Damgası: İmzanın Ne Zaman Atıldığını Nasıl Kanıtlarsınız?

İki yıl önce imzalanmış bir sözleşme için taraflardan biri itiraz ediyor: "Bu imza, sertifikam geçerliyken mi atıldı?" Aradan zaman geçtiği için sertifikanın süresi dolmuş, imzayı atan kişi de artık kurumda çalışmıyor olabilir. Elinizde imzalı belge var ama imzanın tam olarak ne zaman atıldığını gösteren, kimsenin tartışamayacağı bir kayıt yoksa bu soruya net yanıt vermek zorlaşır.

Zaman damgası tam olarak bu boşluğu kapatır. Bu yazıda zaman damgasının ne olduğunu, e-imzadan farkını, sertifika süresi dolduktan sonra neden önem kazandığını ve nasıl eklendiğini anlatıyoruz.

Zaman Damgası Nedir?

Zaman damgası, bir elektronik verinin belirli bir anda var olduğunu ve o andan sonra değiştirilmediğini gösteren kayıttır. 5070 sayılı Elektronik İmza Kanunu'nda tanımlanan bu kaydı, yetkili bir elektronik sertifika hizmet sağlayıcısı kendi elektronik imzasıyla onaylar.

Basit bir benzetmeyle: Bir belgeyi noterde tarihli bir zarfa koymak gibi düşünebilirsiniz. Zarfın üzerindeki tarih, belgenin o gün var olduğunu kanıtlar. Fark şu ki, zaman damgasında bu işlem saniyeler içinde ve elektronik ortamda yapılır, güvencesi de matematikseldir.

Zaman Damgası Nasıl Çalışır?

Süreç üç temel adımdan oluşur:

1. Özet çıkarılır: İmzalanan belgenin içeriğinden, belgeye özgü kısa bir değer (özet ya da hash) üretilir. Belgenin kendisi kimseyle paylaşılmaz.
2. Sağlayıcıya gönderilir: Bu özet, yetkili zaman damgası sunucusuna iletilir. Sunucu, özetle birlikte o anki güvenilir zaman bilgisini birleştirir.
3. İmzalanıp geri gönderilir: Sağlayıcı bu bilgiyi kendi elektronik imzasıyla mühürler ve zaman damgasını size iletir. Zaman damgası, imzalı belgeye eklenir.

Belgede sonradan tek bir karakter bile değişirse özet değişir ve zaman damgası artık belgeyle eşleşmez. Bu yüzden zaman damgası hem zamanı hem de içeriğin değişmediğini kanıtlar.

e-İmza Zaman Bilgisini Kanıtlamaz mı?

Kısmen. e-İmza, imzayı kimin attığını ve belgenin imzadan sonra değişmediğini gösterir. İmzaya eklenen saat bilgisi ise çoğu zaman imzayı atan kişinin cihazındaki saate dayanır. O saati değiştirmek mümkün olduğu için tek başına güçlü bir kanıt sayılmaz.

Zaman damgası bu eksiği tamamlar. İkisi birbirinin yerine geçmez, birbirini tamamlar:

Sertifika Süresi Dolduğunda İmza Ne Olur?

Zaman damgasının en çok işe yaradığı yer burasıdır. e-İmza sertifikalarının belirli bir geçerlilik süresi vardır. Süre dolduğunda sertifika artık yeni imza atmak için kullanılamaz. Peki eski imzalar?

İmza, zaman damgası içermiyorsa şu soru ortaya çıkar: "Bu imza sertifika geçerliyken mi atıldı, yoksa sonra mı?" Zaman damgası bu sorunun cevabını belgenin içine yazar. İmzanın sertifika geçerliyken atıldığı kayıt altında olduğu için, sertifikanın süresi sonradan dolsa bile imza doğrulanabilir.

Yıllarca saklanması gereken belgelerde bunun bir adım ötesi de var: uzun dönem doğrulama (LTV ya da LTA imza seviyeleri). Bu seviyelerde belgeye doğrulama için gereken sertifika ve zaman bilgileri de eklenir. Algoritmalar ya da sağlayıcılar değişse bile, belge yıllar sonra doğrulanabilir kalır.

Zaman Damgası Hangi Durumlarda Önem Kazanır?

Zaman damgasının değeri, bir tarihin sonradan tartışılabileceği her yerde ortaya çıkar:

• Sözleşmeler: Tarafların imza anına itirazı olabilecek, süresi ve yükümlülükleri tarihe bağlı anlaşmalar.
• Başvuru ve teklif süreçleri: Son tarihe kadar yapılması gereken başvurular ve ihale teklifleri.
• Uzun süre saklanacak arşiv belgeleri: Yıllar sonra denetime ya da uyuşmazlığa konu olabilecek belgeler.
• Denetim ve kayıt akışları: İşlemin kim tarafından, ne zaman yapıldığının ispatlanması gereken süreçler.

Zaman Damgası Nasıl Eklenir?

Zaman damgası, BTK tarafından yetkilendirilmiş sağlayıcılardan alınır. Kamu tarafında bu hizmeti TÜBİTAK BİLGEM Kamu SM sunar, bunun dışında yetkili özel sağlayıcılar da vardır.

Tek bir belge için zaman damgasını elle almak mümkündür. Ancak günde onlarca belge imzalayan bir kurumda bu iş, imza sürecinin içine gömülmelidir. Yani kullanıcı imzalarken zaman damgası da arka planda, otomatik eklenmelidir.

Seneka Çözümlerinde Zaman Damgası

Seneka ürünlerinde zaman damgası, imza işleminin doğal bir parçasıdır:

• ONAYLARIM: Her imzaya TÜBİTAK veya diğer BTK onaylı sağlayıcılardan zaman damgası eklenir. İmzalar arşiv seviyesinde (LTA) üretilebildiği için sertifika veya algoritma değişikliklerinden sonra da geçerliliği korunur.
• primeAPI: CADES, XADES ve PAdES imzalarında zaman damgası ve uzun dönem doğrulama, kendi uygulamanıza entegre ettiğiniz e-imza kütüphanesi içinde sunulur. Bu konuda ayrıntılı bilgi için primeAPI Quickstart yazımıza bakabilirsiniz.

Zaman damgasını ayrı bir adım olarak yönetmeniz gerekmez, imzayla birlikte uygulanır. Kurumunuza uygun kurulumu değerlendirmek için iletişim kanallarımızdan bize ulaşabilirsiniz.

Sık Sorulan Sorular

Zaman damgası zorunlu mu?

Her e-imza için kanunen zorunlu değildir. Ancak bazı süreçler zaman damgası ister ya da önerir. Uzun süre saklanacak ve sonradan doğrulanması gereken belgelerde ise pratikte neredeyse vazgeçilmezdir.

Zaman damgası e-imzanın yerine geçer mi?

Hayır. Zaman damgası imzalayanın kimliğini kanıtlamaz. Yalnızca belgenin belirli bir anda var olduğunu gösterir. İmza için e-imza gerekir.

Zaman damgası sunucusu belgemin içeriğini görür mü?

Hayır. Sunucuya belgenin kendisi değil, belgeden üretilen özet değeri gönderilir.

Belgede değişiklik yaparsam zaman damgası geçersiz olur mu?

Evet. Belge içeriği zaman damgası alındıktan sonra değişirse özet değeri tutmaz ve zaman damgası belgeyle eşleşmez. Bu, zaman damgasının içeriğin değişmediğini kanıtlamasının dayanağıdır.

Sertifika süresi dolmuş bir imza geçerli sayılır mı?

İmzalanma anı zaman damgasıyla kayıt altındaysa, sertifika sonradan dolsa bile imzanın o tarihte geçerli bir sertifikayla atıldığı kanıtlanabilir.