TÜBİTAK KamuSM ile Dijital İmzalama Nedir?

1. TÜBİTAK Kamu SM Nedir?

TÜBİTAK Kamu Sertifikasyon Merkezi (Kamu SM), 5070 sayılı Elektronik İmza Kanunu çerçevesinde elektronik sertifika ve zaman damgası hizmeti veren kamu kurumudur.

Log yönetiminde Kamu SM'nin rolü zaman damgasıdır: bir log arşivinin belirli bir tarihte var olduğunu ve o tarihten sonra değiştirilmediğini, bağımsız bir kurumun damgasıyla belgeler.

2. Dijital İmzalama Nedir, Loglarda Neden Önemlidir?

Dijital imzalama, bir dosyanın içeriğinden matematiksel bir özet (hash) çıkarıp bu özeti imzalamaktır. Dosyada sonradan tek bir karakter bile değişirse özet de değişir ve imza doğrulaması başarısız olur.

Log dosyaları için bu, şu soruya cevap verir: Bu kayıtlar sonradan değiştirildi mi? Bir denetimde ya da resmi bir talepte kayıtların güvenilirliği tam olarak bu soruyla ölçülür.

3. Mevzuat Ne Diyor? Kamu SM Zorunlu mu?

Log saklama yükümlülüğünün iki dayanağı var: 5651 sayılı Kanun ve bu kanuna dayanan İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik (Resmî Gazete, 11 Nisan 2017, sayı 30035). Yönetmelik internet sunan her işletmeden şunu ister (Madde 4/1-b):

“Erişim kayıtlarını elektronik ortamda kendi sistemlerine kaydetmek ve iki yıl süre ile saklamak.”

Ticari amaçla internet sunan işletmeler için ayrıca (Madde 5/1-e):

“(d) bendi gereğince kaydedilen bilgileri ve bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri kendi sistemlerine günlük olarak kaydetmek ve bu verileri iki yıl süre ile saklamak”

Sonuç: Mevzuat, kayıtların bütünlüğünü teyit eden günlük bir değer ister; bunun belirli bir imza yöntemiyle ya da belirli bir zaman damgası sağlayıcısından alınmasını şart koşmaz. Kamu SM zaman damgası zorunlu değildir; Subgate'in dahili dijital imzası (SelfSign) bu yükümlülüğü ek abonelik olmadan karşılar. Kamu SM, kayıtların tarihini ayrıca resmi bir kurumun damgasıyla belgelemek isteyenler için ek bir seçenektir.

4. SelfSign ve Kamu SM: Farklar

Subgate iki yöntemi de destekler; kurulumda birini seçersiniz, imzalama her gün otomatik yapılır.

Hangisini seçmeli? Ek abonelik ve dış bağlantı olmadan mevzuata uyum istiyorsanız SelfSign yeterlidir. Kayıtların tarihini de bağımsız bir kurumun damgasıyla belgelemek istiyorsanız (örneğin kurum içi politikanız bunu gerektiriyorsa) Kamu SM'yi seçebilirsiniz.

5. Subgate'te İmzalama Süreci Nasıl Çalışır?

1. Toplama: Firewall ve router cihazları erişim kayıtlarını syslog ile Subgate'e gönderir. Windows DHCP sunucusundaki iç IP dağıtım kayıtları (IP, MAC adresi, bilgisayar adı) da ayrıca toplanır.
2. Sıkıştırma: Kayıtlar geldiği anda sıkıştırılarak diske yazılır. Yoğun trafikte bu, %90'ın üzerinde yer tasarrufu demektir.
3. Günlük arşiv: Her gece bir önceki günün kayıtları cihaz başına tek bir arşivde toplanır.
4. İmza: Arşivin tamamı seçilen yöntemle imzalanır; imza dosyası arşivle aynı klasörde saklanır.
5. Rapor: İsterseniz her sabah imza durumu (başarılı, hatalı, eksik) e-postanıza gelir.

Aksilikler hesaba katılmıştır: Kamu SM'ye o an ulaşılamazsa imzalama otomatik olarak yeniden denenir; imzasız kalan günler sonraki çalışmada tamamlanır. Elektrik kesintisinde yarım kalan arşivleme kaldığı yerden tamamlanır. Bir cihazdan geç gelen loglar arşive eklenir ve gün yeniden imzalanır. Disk dolmaya yaklaşınca e-posta uyarısı gider; 5651 arşivine hiçbir zaman otomatik olarak dokunulmaz.

6. İmzalı Logların Doğrulanması

Subgate panelinde ilgili günün yanındaki "Doğrula" düğmesine basmanız yeterli. SelfSign'da arşiv baştan sona yeniden okunur ve imza doğrulanır; Kamu SM'de doğrulama Kamu SM'nin kendi istemcisiyle yapılır. Arşivde tek bir karakter bile değişmişse doğrulama başarısız olur.

Doğrulama Subgate'e bağlı da değildir: SelfSign imzalı bir arşiv, Subgate kurulu olmayan bir bilgisayarda standart OpenSSL komutuyla doğrulanabilir. Denetçinize gereken dosyaları ve adımları destek ekibimiz iletir.

7. Denetimde ve Resmi Talepte İmzalı Loglar

Kayıtlar istendiğinde ilgili günün arşivi ve imza dosyası panelden indirilir, doğrulama sonucu gösterilir. Böylece hem kayıtların kendisini hem de değiştirilmediklerini aynı anda sunmuş olursunuz.

Yönetmelik kayıtların iki yıl saklanmasını ister. Subgate 5651 arşivlerini süre sınırı koymadan saklar ve otomatik olarak silmez; panelde arşivi silme ya da değiştirme işlevi yoktur.

8. KVKK ile İlişkisi

Erişim kayıtları IP adresi, MAC adresi ve erişim zamanı gibi kişisel veri sayılabilecek bilgiler içerir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin güvenliği için uygun teknik ve idari tedbirlerin alınmasını ister.

İmzalama kayıtların bütünlüğünü korur; kayıtları gizlemez. Bu nedenle log arşivinin bulunduğu sunucuya ve klasöre erişimi yalnızca yetkili kişilerle sınırlamanızı öneririz. Subgate kayıtları kurumun kendi sunucusunda tutar; veriler üçüncü bir tarafa gönderilmez.

9. Subgate Network ile Dijital İmzalama

• Her gece otomatik imzalama; elle işlem gerekmez
• SelfSign (varsayılan, ek ücret yok) ya da TÜBİTAK Kamu SM zaman damgası
• Panelden tek tıkla doğrulama, istenirse her sabah imza raporu
• Kesintiye ve geç gelen loglara karşı kayıpsız arşiv
• Hotspot, RADIUS, 802.1X, MFA ve 5651 loglama tek üründe
• 12 firewall markasıyla çalışır

İmzalamanın tüm ayrıntıları ve teknik özellikler için: 5651 log imzalama ve doğrulama. Subgate'i ücretsiz denemek için bizimle iletişime geçin.