Elektronik İmza, Açık Anahtarlı Altyapı (PKI) Teknolojileri ve Bilgi Güvenliği Uygulamaları

Transkript

1 Elektronik İmza, Açık Anahtarlı Altyapı (PKI) Teknolojileri ve Bilgi Güvenliği Uygulamaları Mert ÖZARAR Proje Yöneticisi TÜRKTRUST Bilgi İletişim ve Bilişim Güvenliği Hizmetleri A.Ş.

2 İÇERİK Kısa Kurumsal Tanıtım E-imza ve Elektronik Sertifika Hizmetleri Elektronik Sertifika Hizmet Sağlayıcılığı (ESHS) Yazılım Geliştirme Faaliyetleri Teknik Yetenekler Bütünleşik Çözümler Örnek Başarı Öyküleri Referanslar

3 TÜRKTRUST A.Ş. TSK ELELE VAKFI nın bir iştiraki olarak 14 Temmuz 2004 tarihinde 12 milyon TL sermayeyle kurulmuş bir Elektronik Sertifika Hizmet Sağlayıcısıdır (ESHS). Kuruluş amacı, 5070 sayılı Elektronik İmza Kanunu kapsamında elektronik sertifika hizmetleri vermek ve bilgi güvenliği teknolojilerinde ürün ve hizmet geliştirmektir sayılı Kanun uyarınca 18 Temmuz 2005 tarihinde Bilgi Teknolojileri ve İletişim Kurumu ndan (önceki Telekomünikasyon Kurumu) yetki almış ve faaliyete başlamıştır.

4 TÜRKTRUST A.Ş. Ankara daki Genel Müdürlük merkezinde ESHS alanındaki tüm faaliyetlerini eksiksiz bir şekilde yürütmektedir. ODTÜ Teknokent te bulunan Ar-Ge ofisinde, yazılım geliştirme ve proje çalışmalarını sürdürmektedir. İstanbul (Avrupa ve Anadolu yakası), İzmir, Bursa, Mersin, Samsun, Gaziantep, Antalya ve Kocaeli de irtibat ofisleri bulunmaktadır.

5 TÜRKTRUST A.Ş. TÜRKTRUST, Türkiye deki mevcut Nitelikli Elektronik Sertifika (NES) pazarında liderdir. Elektronik Sertifika Üretim ve Yönetim Yazılımı nı tamamen kendi geliştirmiş ve uluslararası standartlarda hizmet verebilen ülkemizin ilk özel ESHS sidir. Microsoft (Internet Explorer), Mozilla (Firefox), Opera ve Apple Safari web tarayıcıları tarafından tanınan ve SSL sunucu sertifikaları tüm dünyada geçerli ilk ve tek yerli kuruluştur. Geliştirilen yazılım ürünlerinde yurt içi ve yurt dışı kayda değer satışlar gerçekleştirilmiştir.

6 TÜRKTRUST A.Ş. ISO/IEC 27001:2005 Bilgi Güvenliği Yönetim Sistemleri Standardı belgesini alan ülkemizin ilk özel ESHS sidir. ISO 9001:2008 Kalite Yönetim Sistemi Standardı belgesi sahibidir. NATO ve Milli Tesis Güvenlik Belgeleri ile 5188 Sayılı Kanun kapsamında Özel Güvenlik Birimi İzin Belgesi sahibidir.

7 TÜRKTRUST Ürün ve Hizmetleri ELEKTRONİK SERTİFİKA HİZMET SAĞLAYICISI YAZILIM GELİŞTİRME, PROJE VE DANIŞMANLIK Elektronik imza ve nitelikli elektronik sertifika hizmetleri Zaman damgası hizmetleri SSL sunucu sertifikaları ve diğer sertifikalar Hazır (off-the-shelf) yazılım ürünleri Anahtar teslim BT güvenlik çözümleri Danışmanlık ve eğitim (Sertifika hizmetlerinde ve hazır yazılım ürünlerinde pazar lideri)

8 Neden Elektronik İmza? Kamu kuruluşlarıyla yapılan elektronik işlemlerde Hukuki işlemlerde Bankacılık işlemlerinde ve finansal uygulamalarda Kurumsal yazılım uygulamalarında (ERP, DYS, vb.) Elektronik yazışma ve sözleşmelerde E-devlet, e-ticaret, e-iş uygulamalarında Zaman, para ve iş gücü tasarrufu sağlayarak, güvenli işlem yapabilmeye olanak tanır.

9 Elektronik İmza Uygulama Örnekleri DTM Dahilde İşleme Rejimi Projesi Dahilde İşleme Rejiminden yararlanarak gümrük ve fon muafiyeti talep eden şirketler başvurularını İnternet üzerinden elektronik imzalı yapıyorlar Yaklaşık şirket proje kapsamında DTM Serbest Bölgeler Uygulama Projesi Serbest Bölgelerdeki şirketler DTM ile tüm işlemlerini DTM-Serbest Bölgeler Uygulama Programı ile e-imza kullanarak gerçekleştirecekler 3000 in üzerinde şirket proje kapsamında

10 Elektronik İmza Uygulama Örnekleri Sanayi ve Ticaret Bakanlığı E-imza Uygulaması Garanti Belgesi, Satış Sonrası Hizmet Yeterlilik Belgesi işlemleri (1 Ocak 2008 den sonra zorunlu) Yaklaşık üretici ve ithalatçı şirket Ulusal Yargı Ağı Projesi'nde E-İmza Kullanımı Avukatların, UYAP üzerinden mevcut davalarını takip etme, yeni bir dava açma, dava dosyalarına evrak gönderme, yargılama harcı, ücret ve diğer masraflara ilişkin para transferi vb. işlemleri Yaklaşık bin avukat proje kapsamında

11 Elektronik İmza Uygulama Örnekleri MASAK Mali Suçlar Araştırma Kurulu Bankalardan gelen şüpheli işlem bildirimleri e-imza kullanılarak yapılıyor 100 ün üzerinde kullanıcısı bulunuyor MSB Milli Kodlandırma Projesi (WETİKS) Savunma sanayi tedarikçilerinin kayıt altına alınmasında e-imzalı uygulama Yaklaşık 7500 tedarikçi firma

12 Elektronik İmza Uygulama Örnekleri Merkezi Kayıt Kuruluşu (MKK) Merkezi Kaydi Sistem (MKS) Uygulaması Sermaye piyasası araçlarının kaydileştirilmesi amacıyla işlemler e-imza ile yürütülüyor 1000 e yakın kullanıcısı bulunuyor ve artacak SPK Bağımsız Denetim Kuruluşları Uygulaması SPK ya yapılacak bildirimlerin e-imzalı gönderilmesi 100 ün üzerinde bağımsız denetim kuruluşu uygulama kapsamında

13 Elektronik İmza Uygulama Örnekleri MCKS Mobil Cihaz Kayıt Sistemi TK ya bildirimde bulunan mobil cihaz ithalatçısı firmaların e-imza uygulaması 50 civarı firma TPE Uygulaması 1 Ağustos 2007 tarihinden itibaren "Marka" başvuruları elektronik imza ile online olarak internet üzerinden alınmaktadır in üzerinde patent vekili uygulama kullanıcısı

14 Elektronik İmza Uygulama Örnekleri Gümrük Müsteşarlığı E-imza Uygulaması Uygulama ile gümrük beyannameleri elektronik imzalı olarak elektronik ortamda verilebilecek Gümrüklerde işlem yapan mükellefler internet üzerinden gümrük beyannamesi doldurarak elektronik olarak imzalayabilecek Ayrıca elektronik imza entegrasyonu yapılmış gümrük beyannamesi programları aracılığıyla elektronik imzalı beyannameler Gümrük Müsteşarlığına online gönderilebilecek Yaklaşık Gümrük Müşaviri

15 Elektronik İmza Uygulama Örnekleri Dijital Proje Otomasyon Sistemi (DİPOS): Tekhnelogos firması tarafından geliştirilen ZetaCad uygulaması Doğalgaz tesisat şirketlerinin projelerini elektronik imzalı teslim etmelerine imkan tanıyor 24 ilde 2000 in üzerinde kullanıcısı bulunuyor

16 Finans Sektörü Uygulama Alanları Bankacılık uygulamaları İnternet bankacılığı işlemleri Elektronik imza onaylı log-in Elektronik imza onaylı bankacılık işlemi Özel kurumsal bankacılık uygulamaları Serbest format bankacılık talimatları Banka içi evrak akışları Sermaye piyasası işlemleri

17 Diğer Uygulama Alanları Kurumsal Kaynak Planlama (ERP) Uygulamaları Muhasebe işlemleri (fatura, irsaliye, elektronik defter, ödeme emirleri, banka talimatları) Personel izin formları ve diğer personel uygulamaları Sipariş emirleri, iş talimatları, satın alma işlemleri Doküman Yönetim Sistemleri Hastane Yönetimi Sistemleri Uzaktan Eğitim ve E-Sınav

18 Güvenli Elektronik İmza? Madde 4 Güvenli Elektronik İmza a) Münhasıran imza sahibine bağlı olan b) Sadece imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracı ile oluşturulan c) Nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğinin tespitini sağlayan d) İmzalanmış elektronik veride sonradan herhangi bir değişiklik yapılıp yapılmadığının tespitini sağlayan

19 Güvenli Elektronik İmzanın Hukukî Sonucu ve Uygulama Alanı Madde 5.- Güvenli elektronik imza, elle atılan imza ile aynı hukukî sonucu doğurur. Kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukukî işlemler ile teminat sözleşmeleri güvenli elektronik imza ile gerçekleştirilemez.

20 Anahtar Çifti Madde 3.d İmza Oluşturma Verisi İmza sahibine ait olan, imza sahibi tarafından elektronik imza oluşturma amacıyla kullanılan ve bir eşi daha olmayan şifreler, kriptografik gizli anahtarlar gibi verilerdir Madde 3.f İmza Doğrulama Verisi Elektronik imzayı doğrulamak için kullanılan şifreler, kriptografik açık anahtarlar gibi verilerden oluşan imza doğrulama verisidir

21 Güvenli Elektronik İmza Oluşturma Araçları Madde 6 a) Ürettiği elektronik imza oluşturma verilerinin kendi aralarında bir eşi daha bulunmamasını, b) Üzerinde kayıtlı olan elektronik imza oluşturma verilerinin araç dışına hiç bir biçimde çıkarılamamasını ve gizliliğini c) Ürettiği elektronik imza oluşturma verilerinin, üçüncü kişilerce elde edilememesini, kullanılamamasını ve elektronik imzanın sahteciliğe karşı korunmasını, d) İmzalanacak verinin imza sahibi dışında değiştirilememesini ve bu verinin imza sahibi tarafından imzanın oluşturulmasından önce görülebilmesini

22 Güvenli Elektronik İmza Oluşturma Araçları Güvenli elektronik imza oluşturma araçları, e-imza mevzuatında tanımı yapılan, belirlenmiş güvenlik standartlarına sahip (Ortak Kriterler ISO EAL 4+) akıllı kartlar veya akıllı çubuklar (token) üzerinden mevzuata uygun güvenli elektronik imza oluşturulmasında kullanılır.

23 Özet (Hash) Algoritmaları Merhaba Girdi ÖZET Girdi Çıktı Çıktı Marhaba SHA-1, MD4, MD5 $½ F&r Özet algoritmaları Mesajı her zaman ve aynı uzunlukta bir özete indirger Özetten yola çıkarak mesaj yeniden elde edilemez İki farklı mesajın özeti aynı olmaz

24 Elektronik İmza Tekniği İmza oluşturma aracı ;+?(^! İmza doğrulama aracı Çıktı ;+?(^! ;+?(^! Girdi RSA İmza oluşturma verisi RSA $½ İmza doğrulama verisi Girdi $½ =? $½ Çıktı?= E İmza?=H İmza X Merhaba Girdi SHA-1 Merhaba Girdi SHA-1

25 Temel PKI (Açık Anahtarlı Altyapı) İşlevleri E-imza Kimlik doğrulaması Bütünlük İnkar edilemezlik Şifreleme Gizlilik

26 İdari Açıdan Güvenlik Hangi anahtar çiftinin (imza oluşturma ve doğrulama verilerinin) kime ait olduğunun bilinmesi Anahtar çifti üretimi Doğru kimlik tespiti Güvenilir bir kurum tarafından açık anahtarın (imza doğrulama verisinin) kime ait olduğunun beyanı Elektronik sertifika Elektronik Sertifika Hizmet Sağlayıcısı (ESHS)

27 Nitelikli Elektronik Sertifika Nitelikli Elektronik Sertifika Madde 9 İmza doğrulama verisi Sertifikanın seri numarası Sertifika hizmet sağlayıcısının kimlik bilgileri ve kurulduğu ülke Sertifikanın nitelikli olduğuna dair bir ibare Sertifika sahibinin teşhis edilebileceği kimlik bilgileri Diğer bir kişi adına hareket ediyorsa yetkisi Talep üzerine mesleki ve diğer kişisel bilgiler Varsa sertifikanın kullanım şartları Sertifikanın geçerlilik süresi Sertifika hizmet sağlayıcısının elektronik imzası

28 Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) Madde 8 Elektronik sertifika hizmet sağlayıcısı, elektronik sertifika, zaman damgası ve elektronik imzalarlarla ilgili hizmetleri sağlayan gerçek veya tüzel kişilerdir İlgili hizmetler Nitelikli elektronik sertifika başvuru, iptal, yenileme süreçlerinin yönetimi Sertifika durum bilgisi hizmetleri (SİL/OCSP) Kayıtların tutulması Zaman damgası hizmetleri

29 Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) ESHS ler, mevzuata ve teknik standartlara uygun olarak kurulup yetki almış ve Bilgi Teknolojileri ve İletişim Kurumu - BTK (eski adıyla Telekomünikasyon Kurumu - TK) tarafından denetlenen, nitelikli elektronik sertifika, elektronik imza ve zaman damgası ile ilgili hizmetleri sağlayan güvenilir kuruluşlardır ESHS lerin asli işlevi, nitelikli elektronik sertifika almak isteyen gerçek kişilerin resmi belgelere dayandırarak kimlik tespitini yüz yüze yapmak, güvenli ortamda nitelikli elektronik sertifikayı üretmek, güvenli elektronik imza aracına yüklemek ve sahibine bizzat teslim etmektir

30 Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) ESHS işlevinin sağlıklı bir biçimde yerine getirilmesi, Güven ve güvenilirlik Yetkinlik ve uzmanlık İstikrar ve süreklilik Tarafsızlık Teknik ve fiziksel altyapı Kalite odaklı müşteri hizmetleri gibi unsurların bir arada sağlanmasıyla mümkün olur.

31 TÜRKİYE de ESHS Yapısı Kamu TÜRKİYE Kamu Sertifikasyon Merkezi (TÜBİTAK)... TÜRKTRUST KAYIT MERKEZLERİ NOTER Diğer ESHS ler Sağlık Bak. Çalışanları İçişleri Bak. Çalışanları Vatandaşlar

32 E-imza Mevzuatı Elektronik İmza Kanunu (no.5070) Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ Zorunlu Sertifika Mali Sorumluluk Sigortası Düzenlemeleri Başbakanlık Genelgeleri

33 ESHS Dokümantasyonu Sertifika İlkeleri (Sİ) Sertifika Uygulama Esasları (SUE) Zaman Damgası İlkeleri Zaman Damgası Uygulama Esasları Taahhütname ve/veya Sözleşmeler Prosedürler Talimatlar Müşteri Kılavuzları Kayıtlar (formlar, resmi belgeler, vb.)

34 Zaman Damgası nedir? Zaman damgası Kanun'da "bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve/veya kaydedildiği zamanın tespit edilmesi amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıt" olarak tanımlanır. Elektronik ortamda doküman, kayıt, sözleşme gibi elektronik verilerin, belirli bir zamandan önce var olduğunu kanıtlamak için kullanılır. Elektronik ortamdaki işlemlere güvenilir zaman bilgisi eklenebilmesini sağlar. Üzerinde zaman bilgisi olması gereken elektronik başvuru, tutanak, sözleşme ve benzeri her türlü elektronik veri üzerinde kullanılabilir.

35 TÜRKTRUST Sertifika Hizmetleri Zaman Damgası Hizmetleri Bir elektronik verinin üretildiği, değiştirildiği, gönderildiği, alındığı ve/veya kaydedildiği zamanın tespit edilmesi amaçlı (5070 sayılı Elektronik İmza Kanunu kapsamında) Nesne İmzalama Sertifikaları Yazılım güvenilirliğini sağlama amaçlı Güvenlik Sertifikaları / Basit Elektronik Sertifikalar Kimlik doğrulama ve şifreleme amaçlı

36 Sunucu (SSL) Sertifikası nedir? Sunucu (SSL) sertifikaları, internet ve her türlü ağ üzerinde istemci bağlantılarını karşılayan sunucuların, bağlanan kullanıcılar tarafından doğrulanması amacıyla kullanılır. Eğer sunucuya bağlanan kullanıcı da elektronik sertifika sahibiyse, sunucu bağlantısı sırasında kullanıcının da kimliğinin doğrulanması mümkündür. Bu tür bir bağlantı sırasında istemci ve sunucu arasında güvenli bir iletişim kanalı oluşturulur ve gönderilip alınan bilgiler şifrelenerek transfer edilir. Sunucu (SSL) sertifikaları, özellikle İnternet üzerinde hizmet veren web sunucularının bağlantı güvenliğinin sağlanması amacıyla kullanılır. Bankacılık, e-ticaret ve e-devlet uygulamaları sertifikalarının sık kullanıldığı alanlardır. sunucu (SSL)

37 TÜRKTRUST Sertifika Hizmetleri SSL Sunucu Sertifikaları Web üzerinde güvenli iletişim amaçlı (Microsoft (IE), Mozilla (Firefox), Opera, Safari uyumlu)

38 TÜRKTRUST NES Başvuru Yöntemleri Bireysel Başvuru YÖNTEM 1: Başvuru sahibinin TÜRKTRUST ofisleri ya da kayıt merkezlerinden birine şahsen gelerek başvuru yapması YÖNTEM 2: TÜRKTRUST ekspres-imza hizmeti aracılığıyla başvuru (Ankara, İstanbul, İzmir, Bursa, Kocaeli, Mersin, Antalya) YÖNTEM 3: Noter aracılığıyla, başvuru işlemlerinin uzaktan yürütülmesi Kurumsal Başvuru YÖNTEM 1: Başvuru sahibinin TÜRKTRUST ofisleri ya da kayıt merkezlerinden birine şahsen gelerek başvuru yapması YÖNTEM 2: TÜRKTRUST kayıt görevlisinin, başvuru sahibi kurumun kendi adresine giderek işlemleri yerinde yürütmesi YÖNTEM 3: TÜRKTRUST ekspres-imza hizmeti aracılığıyla başvuru (Ankara, İstanbul, İzmir, Bursa, Kocaeli, Mersin, Antalya) YÖNTEM 4: Noter aracılığıyla, başvuru işlemlerinin uzaktan yürütülmesi

39 NES Başvurusu için Gerekli Belgeler TÜRKTRUST Bireysel NES Başvurusu TÜRKTRUST Nitelikli Elektronik Sertifika Başvuru Formu TÜRKTRUST yetkilisi huzurunda kimlik tespitiyle imzalanmış TÜRKTRUST Nitelikli Elektronik Sertifika Sahibi Taahhütnamesi Yüz yüze kimlik doğrulama sırasında kullanılmak üzere resmi kimlik belgesi ve fotokopisi (nüfus cüzdanı, sürücü belgesi veya pasaport) Sertifikada mesleki unvan gösterilmek isteniyorsa, resmi onaylı meslek belgesi (isteğe bağlı) Sertifika sahibi diğer bir kişi ya da kurum adına hareket ediyorsa bu yetkisine ilişkin resmi belge (isteğe bağlı)

40 NES Başvurusu için Gerekli Belgeler TÜRKTRUST Kurumsal NES Başvurusu Her başvuru sahibi adına, bireysel başvuru için gerekli belgeler + Her başvuru sahibine ait TÜRKTRUST Nitelikli Elektronik Sertifika Başvuru Formu nun ilgili kısmının şirketi temsile yetkili kişi/kişiler tarafından onaylanmış olması Ticari sicil gazetesi fotokopisi Kurum yetkilisine/yetkililerine ait imza sirkülerinin örneği

41 NES E-imza Paketi Teslimatı Nitelikli Elektronik Sertifika (NES) e-imza paketi, iki ayrı gönderiyle sadece elden, kimlik beyanıyla ve imza karşılığı sertifika sahibine teslim edilir. Akıllı kart ve okuyucu paketi Akıllı Kart (veya Akıllı Çubuk - Token) Nitelikli Elektronik Sertifika yüklü olarak Akıllı Kart Okuyucu Akıllı kart yönetim yazılımı kurulum CD si ve Kılavuzu Şifre Zarfı

42 NES E-İmza Teknik Özellikleri ITU-TRec. X.509V.3 ve Bilgi Teknolojileri ve İletişim Kurumu tarafından yayımlanan Tebliğ'le belirlenmiş diğer standartlarla uyumludur. Kesintisiz Çevrim İçi Sertifika Durum Protokolü (OCSP) ve Sertifika İptal Listesi (SİL/CRL) desteğine sahiptir. Kullanım güvenliğiniz için anlık sertifika iptal ve askıya alma hizmetleri kesintisiz sağlanmaktadır. 1 (bir), 2 (iki) ve 3 (üç) yıllık sertifika seçenekleri bulunmaktadır. ISO/IEC Bilgi Güvenliği Yönetim Sistemi uyarınca yüksek bilgi güvenliği ve fiziksel güvenlik koşulları altında üretilmektedir.

43 NES Yenileme TÜRKTRUST nitelikli elektronik sertifikaları iki şekilde yenilenebilmektedir: 1. Kullanım süresi dolan 1 (bir) yıllık nitelikli elektronik sertifikalar TÜRKTRUST web sitesi üzerinden yapılan elektronik yenileme başvurusuna müteakip üretilmekte ve sertifika sahibi elektronik posta ile bilgilendirilmektedir. Sertifika sahibi, daha sonra üretilen yeni sertifikasını yine TÜRKTRUST web sitesi üzerinden akıllı kartına yükleyerek kullanabilmektedir. 2. Kullanım süresi dolan 2 (iki) ve 3 (üç) yıllık nitelikli elektronik sertifikalar ile, daha önce 2 (iki) kez yenileme işlemi yapılmış nitelikli elektronik sertifikalar, TÜRKTRUST web sitesi üzerinden yapılan elektronik yenileme başvurusuna müteakip yeni bir akıllı kart üzerinde yeni bir sertifika üretilerek sertifika sahibine gönderilir. Sertifika sahibi, eski kartını ve şifre zarfını imha ederek, yeni gelen kart ve şifre zarfını kullanır.

44 NES Maliyet Bilgisi E-imza Paketi (Nitelikli Elektronik Sertifika, Akıllı Kart ve Okuyucu, PALMA) 215 TL (KDV DAHİL) 1 Yıllık 299 TL (KDV DAHİL) 2 Yıllık 379 TL (KDV DAHİL) 3 Yıllık Online Yıllık E-imza Yenileme Fiyatı 99 TL (KDV DAHİL) Diğer detaylar için web sitemiz veya ofislerimizle temas kurunuz.

45 ESHS Kurulum Gereklilikleri Yazılım Bileşenleri Donanım Bileşenleri Fiziksel Altyapı İş Süreçleri ve İş Modeli Tasarımı Danışmanlık Hizmetleri Kurulum ve İşletmeye Alma Hizmetleri 45

46 ESHS Yazılım Gereklilikleri TÜRKTRUST Yazılımları PLATAN ESHS Yönetim Yazılımı SPIRA Zaman Damgası Sunucu ve İstemci Yazılımları Üçüncü Parti Yazılımlar Veritabanı Sunucusu Web/Uygulama Sunucusu Yedekleme Sunucusu İşletim Sistemleri 46

47 ESHS Donanım Gereklilikleri Donanımlar HSM (4 adet: Kök, NES imzalama, OCSP, Zaman Damgası) ve 1 adet HSM key pad HSM Yedekleme Token (10 adet) Sunucu Harici Disk Ünitesi Yedekleme Ünitesi Zaman Kaynağı Sunucusu Kabinet 47

48 ESHS Fiziksel Altyapı Gereklilikleri Tesis Altyapısı Çevre güvenliği sağlanmış tesis Erişim kontrollü güvenli odalar Yeterli çalışma alanı ve ofisler Güvenlik ve İş Sürekliliği Altyapısı Giriş/Çıkış kontrolü Kartlı geçiş sistemleri Kamera ve izleme sistemleri Yangın söndürme sistemleri Jeneratör ve kesintisiz güç kaynağı desteği 48

49 ESHS İş Süreçleri ve Hizmet Gereklilikleri TÜRKTRUST Proje Hizmetleri Danışmanlık Süreç Tasarımı ve İş Akışlarının Hazırlanması Yazılım ve Donanım Entegrasyonu ISO/IEC BGYS Kurulumu Dokümantasyon (Sİ, SUE, Prosedürler, Talimatlar, Formlar, BGYS Dokümantasyonu) Şartname Hazırlama (Donanım ve Altyapı için) BTK Süreçlerinin Yönetimi Eğitim (Yönetici ve Operatör) Yerinde Kurulum ve İşletmeye Alma 49

50 TÜRKTRUST Yazılım Ürünleri Elektronik İmza Yazılım Kütüphanesi (Java API ve COM DLL) Akıllı Kart ve E-imza ile Web Üzerinde Kimlik Doğrulama Yazılımı Zaman Damgası Sunucu ve İstemci Yazılımı + SPIRA API Zaman Damgası Yazılım Kütüphanesi Akıllı Kart Yönetim Yazılımı Güvenli Elektronik İmza Oluşturma ve Doğrulama Yazılımı Mobil İmza Hizmet Sağlayıcı (MSSP) Yazılımı Elektronik Sertifika Hizmetleri Yönetim Yazılımı E-Haciz Yazılımı (Tüm yazılım ürünleri, ilgili PKCS, ETSI ve ITU standartlarıyla uyumludur.)

51 PLATAN ESHS Yönetim Yazılımı PLATAN Elektronik Sertifika Hizmetleri Yönetim Yazılımı, sertifika yönetim süreçlerinin yürütülmesini, sertifika başvurusundan sertifika üretimine ve üretilen sertifikaların dağıtımına kadar tüm işlem adımlarının kayıt altına alınmasını, takibini ve yönetimini sağlayan yazılım bileşenlerinden oluşan bir uygulama yazılımıdır.

52 PLATAN Yazılım Fonksiyonları Sertifika Yaşam Döngüsü Yönetimi Sertifika Üretim ve Dağıtım Sertifika Başvurusu Sertifika ve Anahtar Yenileme Sertifika İptal ve Askı Müşteri İlişkileri Yönetimi Hiyerarşik Kök Yönetimi Sertifika Durum Hizmetleri Donanım Güvenlik Modülü (HSM) Entegrasyonu 52

53 PLATAN Teknik Özellikler Java programlama dilinde geliştirilmiş istemci arayüzü ve sunucu tarafı yazılımları Uluslararası standartlarla uygunluk X.509 v3 standardına uygun «Sertifika» ve «Sertifika İptal Listesi (SİL/CRL)» yapısı Değişik anahtar uzunlukları kullanabilme olanağı PKCS#11 uyumlu akıllı kart arayüzü PKCS#10 yapısında başvuruları işleyebilme özelliği RFC-3161 uyumlu zaman damgası hizmeti RFC-2560 uyumlu OCSP hizmeti

54 PLATAN Teknik Özellikler PLATAN yazılım kütüphanesi tarafından desteklenen kriptografi standartları > PKCS#1 > PKCS#8 > PKCS#12 > PKCS#5 > PKCS#10 > CMS > PKCS#7 > PKCS#11 > X.509 v3 PLATAN yazılım kütüphanesi tarafından desteklenen şifreleme algoritmaları > RSA > DES > SHA-1 > 3DES > MD5 > AES vb.

55 TÜRKTRUST Teknik Yetenekleri Açık Anahtarlı Altyapı (PKI Public Key Infrastructure) Uzmanlığı Anahtar teslimi PKI çözümleri İlgili tüm dünya standartlarında yetkinlik Elektronik sertifika, elektronik imza ve mobil imza işlemleri Zaman damgası teknolojileri Programlama seviyesinde akıllı kart ve akıllı çubuk uygulama desteği 55

56 TÜRKTRUST Teknik Yetenekleri Akıllı Kart (Smart Card) Teknolojileri Java akıllı kart kütüphaneleri kullanımı ISO 7816 standardında geliştirme Karta APDU komutlarıyla erişim ve çip kodlama Kart kişiselleştirme cihazları ile (örneğin Datacard ürünleri) fiziksel ve elektronik kişiselleştirme 56

57 TÜRKTRUST Teknik Yetenekleri Kriptografik Mekanizmalar Simetrik Kriptografi (DES, 3DES, AES...) Asimetrik Kriptografi (RSA, DSA,... ) Özet Algoritmalar (MD5, SHA1, SHA2,...) Açık Anahtarlı Kriptografi Standartları Donanım Güvenlik Modülleri Akıllı Kart ve Akıllı Çubuk (Token) Mekanizmaları 57

58 Doküman Yönetim Sistemleri (DYS) Doküman Yönetim Sistemi kullanıldığı kurumlarda, dokümanların oluşturulması, izlenmesi, depolanması, erişilmesi, dağıtılması gibi süreçlerde kullanılan kaynakları minimuma indirmekte ve bu konularda büyük tasarruflar sağlamaktadır. Kurum genelindeki süreç ve dokümanlarda standardın oluşmasında alt yapı oluşturmaktadır. Doküman oluşturma ve saklama maliyetleri azalır. Kırtasiye giderleri, zamandan ve iş gücünden tasarruf sağlar. Güvenli ve mekandan bağımsız erişim imkanı sağlar. Evrak akışını hızlı ve doğru sonuçlandırır. Süreçlerde tıkanan noktaları raporlar. Saklanan belgeyi, yönetilen bilgiye dönüştürür.

59 DYS ve E-İmza Doküman Yönetim Sistemi ve Elektronik imza ile sadece hem kurum içi hem de kurumlar arasındaki yazışmaların da güvenli ortamda yapılması mümkün olmuştur. Bu yazışmalarda güvenli Elektronik İmza kullanılarak belgelerin değişmezliği ve inkar edilemezliği sağlanmaktadır. ARNICA (Java API veya COM DLL) Entegrasyonu

60 TÜRKTRUST Bütünleşik Çözümleri ESHS İnternet Yazılım Uygulaması (Web, ERP, DYS vb.) İnternet / Ağ Kullanıcılar

61 Örnek Başarı Öyküleri TÜRKİYE SAYISAL TAKOGRAF SİSTEMİ (STS) PROJESİ (2010) Proje Konusu: TÜRKTRUST, Türkiye Sayısal Takograf Sistemi (STS) Kart Verme Otoritesi olan TOBB tarafından, Türkiye STS yi kurmakla görevlendirilmiştir. T.C. Ulaştırma Bakanlığı Kara Ulaştırma Genel Müdürlüğü, Türkiye STS nin koordinasyonunu sağlamaktadır. Sistemin teknik altyapısı tamamen TÜRKTRUST tarafından kurulmuştur. Proje 2010 yılının Haziran ayında başlamış olup, üç ay gibi rekor sayılabilecek bir süre içinde tamamlanmıştır. Proje kapsamındaki sayısal takograf kartlarının dağıtımına, başta sürücüler ve şirket yetkilileri olmak üzere, Ekim 2010 itibarıyla başlanmıştır. 61

62 Örnek Başarı Öyküleri AVEA MOBİL İMZA PROJESİ ( ) Proje Konusu: AVEA abonesi cep telefonu kullanıcılarının mobil imza oluşturabilmesi için gerekli sistemin kurulması. Cep telefonu kullanıcıları ve mobil imza uygulamaları arasındaki bağlantıyı sağlayan, uluslararası standartlarla uyumlu DIANTA Mobil İmza Hizmet Sağlayıcı (MSSP) Yazılımı nın sağlanması ve MSSP platformunun barındırılması. Kullanıcılara mobil imza sertifikalarının sunulması ve bu sertifikaların yaşam döngüleriyle ilgili tüm ESHS hizmetlerinin yürütülmesi.

63 Örnek Başarı Öyküleri VODAFONE MOBİL İMZA PROJESİ ( ) Proje Konusu: VODAFONE abonesi cep telefonu kullanıcılarının mobil imza oluşturabilmesi için gerekli sistemin kurulması. Cep telefonu kullanıcıları ve mobil imza uygulamaları arasındaki bağlantıyı sağlayan, uluslararası standartlarla uyumlu DIANTA Mobil İmza Hizmet Sağlayıcı (MSSP) Yazılımı nın sağlanması. Kullanıcılara mobil imza sertifikalarının sunulması ve bu sertifikaların yaşam döngüleriyle ilgili tüm ESHS hizmetlerinin yürütülmesi. 63

64 Örnek Başarı Öyküleri İSTANBUL MENKUL KIYMETLER BORSASI (İMKB) KAMUYU AYDINLATMA PLATFORMU (KAP) PROJESİ (2009, 2010) Proje Konusu: Kamuyu Aydınlatma Platformu (KAP) kapsamında yeni yazılım geliştirme, teknik yardım masası, bakım ve destek hizmetlerinin sağlanması..net platformu üzerinde C# ile, KAP 1.0 uygulamasının.net 1.1 den.net 3.5 e taşınması, istemcilerle sunucu arasındaki veri iletişim altyapısının tamamen değiştirilerek web servislerine dönüştürülmesi, İngilizce web sitesi dahil KAP yayın sitesinin işlevsel özelliklerinin arttırılması. 64

65 Örnek Başarı Öyküleri KATAR MERKEZ BANKASI PROJESİ (2006, 2010) Proje Konusu: Katar Merkez Bankası bünyesinde kurulu sertifika hizmetleri yönetim yazılımına entegre olarak işleyecek, donanım güvenlik modülü (HSM) ile çalışan zaman damgası sunucu yazılımının (SPIRA) kurulumu ve elektronik imza ile diğer açık anahtar altyapısı (PKI) işlevlerini gerçekleştirecek yazılım kütüphanesinin (ARNICA) temini. Katar Merkez Bankası nın talebi üzerine 2010 yılı Ekim ayı içinde projede kullanılmakta olan yazılımlar güncellenmiş ve yerinde eğitimler verilerek projenin ikinci fazı devreye alınmıştır.

66 Örnek Başarı Öyküleri E-HACİZ PROJESİ ( ) Proje Konusu: Gelir İdaresi Başkanlığı (GİB) ile Türkiye de hizmet veren bankalar arasında, vergi mükelleflerinin vergi dairelerine olan borçlarına istinaden haciz işlemleri için gerekli bilgi, belge ve bildirimlerin, güvenlik ve tutarlılık ilkeleri göz önünde bulundurularak ortak bir protokol vasıtasıyla çift yönlü iletilmesini sağlayan SEKOYA E-Haciz Yazılımı nın geliştirilmesi.

67 Örnek Başarı Öyküleri E-İHALE PROJESİ ( ) Proje Konusu: Kamu İhale Kurumu (KİK) tarafından yapılan Kamu İhalelerinde, bankalar tarafından hazırlanan banka referans mektuplarına ilişkin bilgilerin, geliştirilen Elektronik Kamu Alımları Platformu na (EKAP) aktarılması ve EKAP üzerinden ihaleleri yapan idareler tarafından sorgulanmasını sağlayan sistemin geliştirilmesi. Bu yolla ihalelere EKAP üzerinden teklif veren istekliler tarafından geçici teminat mektuplarının ve banka referans mektuplarının kağıt olarak idarelere sunulması zorunluluğu ortadan kalkacaktır.

68 Örnek Başarı Öyküleri ITIDA EĞİTİMİ (2007) Proje Konusu: TÜRKTRUST tesislerinde, Mısır Haberleşme ve Bilgi Teknolojileri Bakanlığı na bağlı Bilgi Teknolojileri Sanayi Geliştirme Ajansı na (Information Technology Industry Development Agency - ITIDA), Açık Anahtarlı Altyapı Sistemleri ve Elektronik Sertifika Hizmetleri (Public Key Infrastructure (PKI) Systems and Electronic Certification Services) konulu 2 hafta süreli kapsamlı bir eğitim verilmesi.

69 Başlıca Referanslar

70 İletişim Ankara Genel Müdürlük: Hollanda Cad. 696.Sok No:7 Yıldız, Çankaya - ANKARA Tel : (312) Faks : (312) İstanbul Avrupa Yakası Ofisi: Büyükdere Cad. Noramin İş Merk. No:55 Kat:4/409, Maslak - İSTANBUL Tel : (212) Faks: (212) İstanbul Anadolu Yakası Ofisi: Osmanağa Mah. Çuhadarağa Sok. No:19 Kat:2, Kadıköy - İSTANBUL Tel : (216) Faks: (216) İzmir Ofisi: (232) Bursa Ofisi: (224) Mersin Ofisi: (324) Kocaeli Ofisi: (262) Çağrı Merkezi bilgi@turktrust.com.tr