AAA (Açık Anahtar Alt Yapısı ) ; 1978 yılında 3 bilim adamı Rivest, Shamir ve Adleman’ın başharflerinden oluşan RSA matematik algoritmasının onaylanması ile başlar. Ana amacı; sanal dünyada; herhangi bir bilgi taşınırken Gizlilik ( Confidentiality), Bilgi Bütünlüğü ( Integrity) , Kimlik Doğrulama ( Authentication) ve Gönderenin İnkar Edememesi ( Non-repudiation) güvenlik özelliklerinin sağlanması olan AAA ; bu işlemleri Sayısal İmza ve Sayısal Kripto ile Özel ve Genel anahtar kullanarak gerçekleştirmektedir. Sayısal imza; Kimlik Doğrulama, Bilgi Bütünlüğü ve Gönderenin İnkar Edememesi; Sayısal kripto ise Gizlilik güvenlik fonkisyonlarını sağlamaktadır. Bu ilk makalemizde AAA sistemlerinde kullanılan Özel, Genel anahtar, Sayısal sertifika ve Sayısal imza kavramlarına yer verilmektedir.

Microsoft Outlook yazılımında “Güvenlik” sekmesine göz atarsanız veya AAA ürün üreticisi firmasının web sitesini ziyaret ederseniz; sayısal sertifika konusunda bilgilenmek gereksinimini hissedeceksinizdir. Son günlerde sıkça karşılaştığımız “Sayısal sertifika ile dokümanlarınızı sayısal imzalayabilirsiniz” gibi teknik olarak yanlış ifadelerle karşılaştığınızda Sayısal sertifikanın tam olarak ne anlama geldiğini anlamak gerekli oluyor.

AAA ( Açık Anahtar Alt Sistemi ) (PKI) , asimetrik kriptografi özelliğini kullanan bir açık anahtar teknik alt yapısıdır. Kripto anahtarları kullananan bu alt yapı; karmaşaya meydan vermeyecek kadar anlaması kolay basit bir işleve sahiptir. Aşağıdaki senaryoyu düşünelim.

Herkesin ; özel olarak üretilmiş bir kasası olsun. Bu kasalardan biri kendine ait anahtar ile kilitlendiğinde ; bu kasa kilitlenen anahtar dışında dünya üzerinde sadece bir anahtar tarafından açılabilmektedir. Kasayı kilitleyen anahtar ; kasayı açamamaktadır. Bu kasalar imal edildiğinde kasayı kilitleyen ve açan anahtar farklı olmalarına rağmen eş olarak üretilmektedir. Aklımıza bu nasıl mümkün olabiliyor sorusunu getiriyor.

Genel ve Özel Anahtar

Yukarıdaki senaryoda kasa ile birlikte üretilen anahtarlardan birini çilingirde birçok defa kopyasını çıkartırarak bu kopya anahtarları bana herhangi bir şey gönderecek kişilere dağıtıyorum. Kopya almış olduğum bu anahtarlara Genel Anahtar olarak tanımlıyorum.

Herhangi bir kişi bana birşey göndermek istediğinde , yukarıda bahsi geçen özel üretilmiş kasalardan alması , bana göndereceklerini kasaya koyması ve onlara benim vermiş olduğum anahtar ile kasayı kilitlemesi yeterli. Bundan sonra tek yapılması gereken kasayı bana göndermesi. Benim üretilen kasa anahtarlarından bende kalanı olan Özel anahtar ile bana gelen kasayı açabilirim. Böylelikle benden başka birinde bu anahtar bulunmadığından söz konusu kasayı başkaları açamayacaktır. Kasayı açabilmeleri için özel anahtarımı almaları gerekmektedir.

Özetlersek, bana göndereceklere vemiş olduğum kopya anahtar benim Genel anahtarım, kendimde kalan ve herhangi birine vermediğim anahtar ise benim Özel Anahtarım dır.

Ancak burada bir problem söz konusu. Bana gönderilen kasayı alıp özel anahtarımla açtığım için , kasa içinde ne varsa bana ait olduğu kesin, kesin olmayan bu kasanın kimin tarafından gönderildiği. Kasa içinde bununla ilgili not da koymuş olsalar , bunun gerçekten doğru bir not bilgisi mi olduğu kesin değil. Çünkü kendilerine Genel Anahtar vediğim herhangi bir kişi de bu notu yazmış olabilir. Yine de Kasayı gönderen kişinin kimliğini tespit etmenin bir yolu var.

Farzedelim, bana gelen kasanın içine girebilen daha küçük bir kasa olsun. Eğer bana büyük kasayı gönderen kişi kendi kimliğini ispatlaması için , küçük kasa içine bazı bilgiler ekleyip küçük kasayı kendi Özel anahtarı ile kilitlemesi ve kilitlenen küçük kasayı ; büyük kasanın içine koyması gerekecek. Küçük kasa herkes tarafından açılabilir. Çünkü küçük kasanın açılması için Genel anahtar bana ve diğerlerine bilgi gönderen kullanıcı tarafından verildi. Daha sonra büyük kasayı benim genel anahtarım ile kilitleyip büyük kasa bana geldiğinde, büyük kasayı özel anahtarım ile açıp, kişinin genel anahtarı ile de küçük kasayı açarsam büyük kasanın kimden geldiğini bulmuş olurum.

AAA alt yapısını oluşturan yukarıda senaryoda söz konusu edilen Özel and Genel anahtarlar AAA sisteminin ana bileşenlerini oluştrumaktadır .

Bilişim açıklaması

Yukarıda senaryoda vermiş olduğumuz kasa örneği anahtarların nasıl çalıştığını anlamak açısından ele alınmıştır. Kasa ve anahtarların bilgisayar dünyasında eşleniğine ihtiyaç bulunmaktadır.

Bilgisayarlarda kasa olmasa da bunun yerine Sayısal Kriptolama tekniği vardır. Örneğin bir dosyayı sayısal kripto tekniği ile kilitleyip , açmak istediğimizde sayısal kripto tekniğini kullanmak gerekmektedir. Bilişimde de kasa örneğinde olduğu gibi anahtarlar kullanılmakta , herhangi bir bilgisayar dosyası , bana ait Genel anahtar ile kriptolandığında ; bu dosyası sadece benim özel anahtarım açabilmektedir. Bu dosyayı kriptolayan kişi dosyanın içine bir metin ekleyip bu metni kendi Özel anahtarı ile kriptolar ise ; ben de bu dosyanın kimin tarafından gönderildiğini doğru olarak öğrenmiş olurum. Bilişimde bu durum biraz farklı şekilde yapılmaktadır. Gönderilmek istenen dosyaya özgü bir değer, gönderenin özel anahtarı ile kriptolanarak dosyanın sayısal imzası bulunur . Daha sonra hem ana dosya hemde dosyanın sayısal imzası gönderilecek kişinin Genel anahtarı ile kriptolanır. Kriptolanmış ana dosyayı alan, bunu Özel anahtarı ile açtığında hem dosya aslını hem de sayısal imzasına erişir. Dosyanın Sayısal imzası gönderenin Genel anahtarı ile de-şifre edilebiliyor ise göndereninin kimliği de ispatlanmış olmaktadır.

Özel ve Genel anahtarlar varken sayısal sertifika nereden gelmektedir ?

Başkalarının gönderdiklerini açabilmek için ; başkalarının Genel anahtarlarına ihtiyaç olduğu bilinmektedir. Herbir kişinin Genel anahtarı üzerinde kime ait olduğunu açıklayan bir etiket olmaz ise açma işlemini yapan kullanıcı ; gelen bilgi için hangi anahtarı kullanacağını bulması çok zordur.

Sayısal Sertifikalar

Sertifika Otoriteleri ( CA ) ; bir kişinin veya öznenin Genel anahtarını bir sertifika içinde kime ait olduğunu da gösteren bilgi ile kullanıcılara temin eden bileşenlerdir. Sayısal sertifika, içinde genel anahtar ve kime ait olduğunu gösteren etiket bilgisi , geçerlilik süresi , sertifika üreten merci adının yer aldığı AAA bileşenleridir. Ancak Sertifika Otoriteleri bu bilgileri nasıl temin etmektedir sorusu aklımıza gelebilir . Kullanıcı ve özneler Sertifika Otoritelerine başvurarak ; Genel anahtarlarının kopyalamasını ve genel anahtardan sertifika oluşturmasını talep etmektedir.

Sayısal Sertifikalar aracılığı ile kullanıcı ve özneler benim sertifikamı dolayısı ile Genel Anahtarımı elde ederek güvenli olarak bilgilerini iletebilmektedir.

Son günlerde gerek basın gerekse bilişim dünyasında adına sıkça rastladığımız sayısal imza ise , yukarıda bahsedilen kişi ve öznenin özel anahtarı kullanılarak gerçekleştirilir.

Sayısal İmza

Sayısal İmza; sanal dünyada kullanıcı ve öznelerin gerçek kimliğini ispat eden, her kullanıldığında farklı bir şekilde oluşan , imzalandığı doküman ve verinin içeriğine göre değişen ve doküman ve veriye eklenen , yukarıda sözü edilen AAA özel anahtarı ile oluşturulan bir değerdir.

Son Söz

2004 ve sonrası Türkiye’nin bilişimde AAA ile daha iç içe olacağı , bilişim projelerinde AAA ‘nın daha sık kullanacığı yıllar olacak. Bu nedenle AAA nın en temel taşı olan Özel Anahtar, Genel Anahtar, Sayısal sertifika terimlerinin tüm kullanıcılar tarafından bilinmesi gerekmektedir. Bundan sonraki yazı ve makalelerimizde AAA sistemlerinin daha değişik boyutlardan incelenmesi , projelerde kullanılması, problemleri , yeni teknolojiler gibi konularına da yer verilecektir.