Elektronik İmza Uyum Değerlendirme Hizmeti

Elektronik İmza Uyum Değerlendirme Hizmeti; elektronik imza atan ve/veya doğrulayan uygulamaların elektronik imza mevzuatında geçen uluslararası teknik standartlara uygunluğunun TÜBİTAK Kamu Sertifikasyon Merkezi tarafından değerlendirilmesi işlemidir. Elektronik imza kabiliyetine sahip Elektronik Belge Yönetim Sistemi (EBYS) yazılımları, Elektronik Yazışma Projesi (EYP) yazılımları ve Kayıtlı Elektronik Posta Hizmet Sağlayıcı (KEPHS) yazılımları elektronik imza uyum değerlendirmenin başlıca hizmet alanlarıdır.

E-Reçete, e-Fatura ve Merkezi Veritabanı Hizmet Sağlayıcı (MTHS) yazılımları için yapılan elektronik imza uyum değerlendirme hizmetleri, 2 Mayıs 2017 tarihinden itibaren TÜBİTAK BİLGEM Test ve Değerlendirme Başkan Yardımcılığı Yazılım Test ve Kalite Değerlendirme Laboratuvarına devredilmiştir. Bilgi almak için https://ytkdl.bilgem.tubitak.gov.tr/ sayfasını ziyaret edebilirsiniz.

Amaç ve Kapsam

5070 Sayılı Elektronik İmza Kanunu ve Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelikle teknik çerçevesi çizilen elektronik imza uygulamalarının uyumlu bir yapıda buluşarak birlikte çalışabilirliğinin sağlanması amacıyla; elektronik imza uygulamalarının değerlendirilmesi görevi yalnızca Kamu Sertifikasyon Merkezi’ne verilmiştir.

Kamu Sertifikasyon Merkezi, elektronik imza oluşturma/doğrulama kabiliyetine sahip EBYS, EYP ve KEPHS yazılımlarını; 2006/13 sayılı Başbakanlık Genelgesi, 2017/21 sayılı Başbakanlık Genelgesi ve uluslararası standartlar kapsamında değerlendirir.

Değerlendirme Süreci

Elektronik imza uygulamalarının değerlendirilmesi; "Kamu Sertifikasyon Merkezi Elektronik İmza Uygulamaları Test Prosedürleri”ne uygun olarak yapılmaktadır. Test prosedürleri, e-imza mevzuatında geçen ve aşağıda belirtilen standartlara dayanılarak hazırlanmıştır.

• CWA 14170: Security Requirements for Signature Creation Applications (İmza Oluşturma Uygulamaları için Güvenlik Gereksinimleri)
• CWA 14171: Procedures for Electronic Signature Verification (Elektronik İmza Doğrulama için Prosedürler)
• ETSI TS 101 733: CMS Advanced Electronic Signatures (CAdES)
• ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES)
• ETSI TS 102 778: PDF Advanced Electronic Signatures (PAdES)
• ETSI TS 103 172: Eletronic Signatures and Insfrastructures (ESI); PAdES Baseline Profile
• ETSI TS 119 101: Electronic Signatures and Infrastructures (ESI); Policy and Security Requirements for Applications for Signature Creation and Signature Validation
• T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi e-Yazışma Teknik Rehberi sürüm 2.0

E-imza uygulamalarının değerlendirmesinde uygulamanın imza oluşturma ve imza doğrulama bölümlerinde aşağıdaki maddeler incelenmektedir:

1. Uygulamada oluşturulan elektronik imza formatlarının ETSI dokümanlarında belirtilen formatlara uygunluğu
2. E-imza oluşturma uygulamasında aşağıdaki testler yapılmaktadır:
   • İmzalanan Kullanıcı Belgesi ile İlgili Testler
   • İmzaya Dahil İmza Özellikleri ile İlgili Testler
   • Doğrulanabilir İmzanın Oluşturulması ile İlgili Testler
   • Güvenli Elektronik İmza Oluşturma Aracı İletişimi ile İlgili Testler
   • Kullanıcı Arayüzü ile İlgili Testler
   • Güvenli Elektronik İmza Oluşturma Yazılımı Dış Bağlantıları ile İlgili Testler
   • Kullanılan Algoritmaların Geçerliliği ile İlgili Testler
   • Zaman Damgası Alınması ile İlgili Testler
   • Kripto Suit İmza Oluşturma ile İlgili Testler
3. E-imza doğrulama uygulamasında aşağıdaki testler yapılmaktadır:
   • İmzalanan Belge ile İlgili Testler
   • Kullanıcı Bilgilendirmeleri ile İlgili Testler
   • İmza Doğrulama ile İlgili Testler
   • Sertifika Doğrulama ile İlgili Testler
   • Zaman Damgası ile İlgili Testler
   • Doğrulama Verilerinin Saklanması ile İlgili Testler
   • Kripto Suit İmza Doğrulama ile İlgili Testler
4. E-imza arşivleme uygulamasında aşağıdaki testler yapılmaktadır:
   • Arşivleme Modülünün İşleyişi ile İlgili Testler
   • Doğrulanan İmzaların Arşivlenmesi ile İlgili Testler
   • Doğrulanamayan İmzaların Arşivlenmesi ile İlgili Testler
   • Arşivlemede Kök Sertifikası ve Algoritma ile İlgili Testler

Yukarıda belirtilen testlere ek olarak,

• E-imza uygulamasında toplu imzalama modülü bulunması halinde toplu imzalama ile ilgili testler;
• EYP Uyum Değerlendirme Hizmeti alınması halinde
• EYP formatına uygunluk ile ilgili temel testler,
• EYP oluşturulması ve doğrulanması ile ilgili testler,
• EYP şifreleme ile ilgili testler;
• EBYS P4 Uyum Değerlendirme Hizmeti alınması halinde ise P4 profiline uygunluk ile ilgili testler yapılmaktadır.

Kamu SM’den EBYS Uyum Değerlendirme hizmeti almak isteyen kurumlar EBYS Uyum Değerlendirme Ön Hazırlık Rehberi’nde belirtilen maddeleri tamamladıktan sonra bilgi[at]kamusm.gov.tr adresinden başvuru işlemini gerçekleştirebilirler.

Kamu SM’den EYP Uyum Değerlendirme hizmeti almak isteyen kurumlar EYP Uyum Değerlendirme Ön Hazırlık Rehberi’nde belirtilen maddeleri tamamladıktan sonra bilgi[at]kamusm.gov.tr adresinden başvuru işlemini gerçekleştirebilirler.

E-imza uygulamalarının Kamu SM test prosedürlerinde belirtilen şartları sağladığı tespit edildikten sonra Uyum Değerlendirme Raporu hazırlanır ve başvuru sahibi kuruma/firmaya sunulur.

Uyum değerlendirme raporunun geçerlilik süresi; raporda belirtilen e-imza standartlarının güncelliğini koruması koşuluyla, yazılımın değiştirilmeden kullanıldığı süre kadardır.

İncelenen e-imza ile ilgili yazılımların (Applet, ActiveX, jar, dll, vs.) ve konfigürasyon dosyalarının kurum tarafından Kamu SM'ye beyan edilen SHA-256 özet algoritması çıktısı alınır ve rapora yazılır. Kurum, Kamu SM'ye ilettiği özet değerlerinin rapor kapsamında incelenen yazılımlara ait olduğunu garanti eder. Yazılımda sonradan yapılan değişiklikler rapor kapsamında değerlendirilmez. Uyum değerlendirme sonrasında e-imza yazılım bileşenlerinin özet değerlerinin değişmesine sebep olacak güncellemelerin yapılması durumunda uygulamanın Kamu SM tarafından yeniden değerlendirilmesi gerekir. E-imza yazılımlarının değişmesi halinde kurum/firma Kamu SM'yi bilgilendirerek değerlendirmenin yeniden yapılmasını istemekle sorumludur.

E-imza entegrasyonu uygun bulunan uygulama, e-imza yazılım bileşenleri ve SHA-256 özet değerleri ile birlikte, raporun yazıldığı tarih, uygulamanın sahibi olan kurum ve varsa e-imza entegrasyonunu yapan firma bilgileri Kamu SM'nin internet sitesinden yayımlanır.

Daha fazla bilgi almak için bilgi[at]kamusm.gov.tr adresine e-posta göndererek Kamu SM ile iletişime geçebilirsiniz.