E-SERTİFİKA KULLANIMININ YAYGINLAŞTIRILMASINDA ÜNİVERSİTENİN ROLÜ: BİR DERS ÖRNEĞİ Yard. Dç. Dr. Figen Özen Haliç Üniversitesi, Mühendislik Fakültesi, Elektrnik ve Haberleşme Mühendisliği Bölümü, Mecidiyeköy, İstanbul fzen@ku.edu.tr İnternet kullanımının yaygınlaşmasıyla hayatımız klaylaştı. Araştırma, iletişim, ticaret, vd. alanlarda internetin bize sağladığı lanaklardan blca yararlanıyruz. Ancak internet üzerinden kurulan iletişim, internetin dğası gereği açık bir rtamda gerçekleşiyr. Bu da değiş tkuş edilen veriyi yasal lmayan yllardan ele geçirmeye çalışanlara klaylık sağlıyr. E-sertifika kullanımının yaygınlaştırılmasıyla internet şimdi lduğundan daha güvenli hale getirilebilir. Bu knudaki çalışmalar başlayalı çk ldu. Ancak henüz tplumda yeterince yankı bulamadı. Bu bildiride e-sertifika hakkındaki farkındalığın arttırılması ve kullanımın yaygınlaştırılması amaçlarına hizmetle, 2001-2005 yılları arasında özel bir üniversitede, çğunluğu ssyal bilimlerde kuyan birinci sınıf öğrencilerine verilen bir dersin içeriği ve işleniş yöntemi anlatılmaktadır. Anahtar Sözcükler: E-sertifika, e-imza, e-şifre THE UNIVERSITY CAN PLAY A PART IN THE SPREAD OF THE DIGITAL CERTIFICATE USAGE: A CASE STUDY The Internet has transfrmed ur lives. We enjy the Internet in the areas f research, cmmunicatin, cmmerce, etc. extensively. On the ther hand, the Internet cmmunicatin takes place in an pen medium by definitin,. which makes the life easier fr the third parties wh wuld like t illegally intercept and gather the data being exchanged. If digital certificates are used, the Internet culd be a safer medium. Althugh relevant study is hardly new, it has nt fund wide applicatin yet. In this paper, a lecture in a cmputer applicatins curse, ffered thrugh the years 2001-2005 at a private university in Istanbul is cnsidered as an example t increase the public awareness and t spread the usage f digital certificates. The students taking the curse were usually scial science freshmen. In the paper details f the lecture are als given. Keywrds: Digital certificate, digital signature, digital encryptin Giriş İnternet üzerinden yapılabilen işlemlerin gün geçtikçe artan çeşitliliği ve hızı, internet kullanımını cazip hale getirdi. Yazışmalarımızın önemli bir bölümünü internet kanalıyla yapıyruz. Alışverişlerimizde de internet ciddi bir alternatif haline geldi. Bu gelişmeler, bize zaman kazandırıp pek çk işimizi daha klay halletmemizi sağlamakla birlikte, bazı güvenlik srunlarını da beraberinde getirdi. Bunlardan birisi, internet üzerinden yapılan yazışmaların iyi niyetli lmayan kişiler tarafından ele geçirilip kunabilmesi, hatta yazışmanın içeriğinin değiştirilebilmesi. Bir diğeri, karşımızdakinin kendisini lduğundan farklı birisi larak tanıtıp, bize ait bilgileri kendi rızamızla da lsa snuçta bizi yanıltarak- ele geçirmesi [1]. Sitesinden özenle seçtiğimiz bahçe mbilyasını sipariş edebilmek için kredi kartı numaramızı verdiğimiz firmanın aslında kredi kartı numarası hırsızlığı yapan birisinin uydurduğu bir şirket luşu gibi örneklere geçmişte sık sık rastlandı. Bir başka örnek de, kendisini çk tanınmış bir e-ticaret sitesine benzetip, 1
nun müşterilerinin kredi kartı numaralarını dalgınlıklarından yararlanarak çalan web siteleri. Bunlar ve benzeri srun kaynaklarıyla mücadele yıllardır sürüyr. Prgramlama uzmanları internetin açıktan sürdürülen iletişimini çeşitli frmüllerle güvenilir hale getirmeye çalışıyrlar. Bu çalışmanın ilgi alanı, internette iletişimin güvenliği knusunda üniversitelerin yapabileceği katkılar. Bunun için üniversitenin hem bu knuda öncü ve örnek lmak için kendi sitelerinin güvenliğini sağlaması, hem de öğrencilerine bu knuda bilgi aktarması gerekiyr. Üniversitelerde İnternet Güvenliğiyle İlgili Önlemler Üniversiteler bilgiyi internet üzerinden paylaşmaya gittikçe daha fazla kaynak ayırıyr. Günümüzde bir çk üniversitede kayıttan kısa bir süre snra öğrenciler kullanıcı adlarına kavuşuyrlar. Üniversitenin web sunucularında kimi haklara sahip luyrlar ve sözgelimi kayıtlarını yaptırmak için evlerinden çıkmalarına gerek kalmıyr. Ntlarını evlerinden öğrenebiliyrlar. Ödev dsyalarını internetten indirip, çözümlerini daha snra yine internetten gönderebiliyrlar. Bu aşamaya gelişin thumları atılalı çk lmadı, yaygınlaşma hızlı ldu. İlk çalışmalar Amerika Birleşik Devletleri nde bazı üniversitelerin e-sertifika kullanımına geçmesiydi. Bu üniversiteler bilgisayar sistemlerinde gerekli düzenlemeleri yaptılar, özellikle web sunucu sertifikalarına ağırlık verdiler. Üniversite öğrencileri ve çalışanları hakkında sağlık ve mali knularla ilgili detayları, web üzerinden nt ilanı gibi unsurları bu ylla krudular [2]. Benzer uygulamalar artık ülkemizdeki bazı üniversitelerde de var. Üniversite Bir Öğretim Kurumu Olarak İnternet Güvenliğine Nasıl Katkıda Bulunabilir? Üniversitenin hem yenilikleri yaratmada hem de tpluma tanıtmada üstelendiği özel bir görevi var. Burada, üzerinde durduğumuz internet knusunda bilinmesi gerekenler henüz kitlelere yayılmamış, belli çevrelerde knuşulan bilgi yığınlarından luşuyr. Üniversitede önemli sayıda nüfus eğitim ve öğretimden geçmekte ve tplumun şekillenmesine katkıda bulunmakta. Bu durumda üniversitelerin yönlendirmesinin önemli lduğunu söylemek zr değil... Üniversitenin Olası Katkısı Knusunda Bir Ders Örneği: Yukarıda adı geçen türden güvenlik srunlarına ve bunların çözümlerine dikkat çekmek, tplumda bu knuda farkındalığın gelişmesine katkıda bulunmak amacıyla özel bir üniversitede 2001-2005 yılları arasında, büyük çğunluğu ssyal bilimlerde kumakta lan öğrencilere verdiğimiz bilgisayar dersinde yaklaşık 90 dakikalık bir dersi bu knuya ayırmıştık. Dersi alanlar genelde birinci sınıf öğrencileriydi. Ders bilgisayar üzerinde uygulamalı larak yapılmaktaydı. O dönemde e-pstanın güvenilirliği henüz pek tartışılmıyrdu. E-imza knusu da yeni yeni gündeme gelmekteydi. Öğrenciler bu knuda bilgi sahibi değilllerdi. Hemen hemen hepsi bu kavramları ilk kez duyuyrlardı. Öğrencilerin bir kısmı ilk öğretimden başlayarak bilgisayar kullanmaya başlamışlardı. Kalan kısmı ise rta öğretimden bu yana bilgisayar kullanıyrlardı. Bilgisayarla tanışıklığı lmayan yk denecek kadar azdı. Öğrencilerin internet üzerinde en sık yaptıkları işler e- psta yllayıp almak, tanıdıkları ya da tanımadıkları kişilerle chat yluyla iletişim kurmak, arama mtrlarını kullanarak çeşitli knularda araştırmalar yapmak, çeşitli sitelerden müzik parçaları indirmek, n-line alışveriş yapmak idi. Her ne kadar yğun internet kullanımları lsa da, her kullanıcının farkında lması gereken güvenlik prblemleri knusunda önemli bilgi eksiklikleri vardı. Dersin İçeriği E-sertifika, e-imza, e-şifreleme knularındaki derste, öncelikle internette iletişim kurarken karşılaşılabilecek güvenlik prblemlerine değiniliyrdu. Bu sıkıntıların hangilerinin ne gibi yllarla aşılabileceği anlatılıp e-sertifika kullanarak iletişim kurmanın sağlayacağı güvenlik katkısı vurgulanıyrdu. Uygulamaların terik temelini luşturmak için aşağıdaki knularda bilgiler veriliyrdu: İnternetle iletişimin güvenlik knusundaki sıkıntılarını aşmak için gönderilen e- pstaları, iletişimin kendisini şifrelemek uygun bir yöntemdir. Şifreleme kavramını anlamak için simetrik anahtar kullanarak luşturulan bir örnek incelenebilir. Sözgelimi verilen bir sözcüğün her harfini bir snraki harf ile değiştirip yllamak (+1), alıcının da aldığı mesajda her harfi bir eksilterek kuması (-1). 2
Şifreleme ve şifrelenmiş bilgiyi açmak için hazırlanmış, dünyaca kabul görmüş algritmalar vardır. Bu knulardaki çalışmalar yıllardır sürmektedir. Şifreleme ve şifre çözme algritmaları prgramlama bazında karmaşık lsalar da, kullanıcının bunları internet iletişiminde kullanması için prgramlama bilgisine sahip lması gerekmez. Şifreli iletişim için genelde asimetrik bir anahtar çifti kullanılır. Bunlardan birisi şifrelemekte, diğeri şifreyi çözmekte işe yarar. Asimetrik anahtar çifti kullanılıyrsa, bu anahtarlardan birini bilmek ötekini tahmin etmeyi sağlamaz. Web siteleri şifreleme ile bilgi aktarımına geçmeleri gerektiği zaman kullanıcıya turum için yaratılan anahtar bilgisini gönderirler. Bilgi iki taraftan da şifrelenmiş larak iletilir. Üçüncü kişilerin iletişime sızma ve bilgi alma çabaları snuçsuz kalır. Oturum snlandırıldığında anahtar çifti geçersiz kılınır. Şifreleme anahtarı ne kadar uzunsa, şifreyi kırmak da kadar zrdur; dlayısıyla şifreleme işlemi randa güvenlidir. E-sertifika veren sitelerden e-psta sertifikası alındığında şifreli ve imzalı e-psta göndermek mümkün lur. Kişiye ait e-sertifika, kişinin e-imza bilgilerini içinde barındırır. Kişi e- sertifikasını kullanarak e-pstayı imzalarsa, alıcıya kendi kimliğini kanıtlar. E-imzanın prensibiyle şifrelemenin prensibi birbirinin tersidir: E-imzanın prensibi, şifreleme anahtarının gizli, şifre çözme anahtarının açık larak dağıtılmasıdır. Şifrelemenin prensibi, şifreleme anahtarının açık, şifre çözme anahtarının gizli lmasıdır. B kişisi, A kişisine şifreli e-psta gönderecekse ve daha önce bunun için hiç iletişim kurmamışlarsa, aşağıdaki yl izlenir: İlk larak A, imzalanmış bir e- pstayı B ye gönderir. B nin bilgisayarı, A nın açık anahtarının bilgisini alır. B, A ya göndereceği e-pstayı yazıp, şifreler. A, B den gelen e-pstayı aldığında A nın bilgisayarındaki özel anahtar bilgisayar tarafından kullanılarak e- pstanın şifresi çözülür. E-sertifika sahibi kullanıcının bilgisayarına indirdiği şifreli e-pstayı, aynı bilgisayara erişimleri lsa bile başka kişiler, e- sertifikanın şifresini bilmedikleri sürece, kuyamazlar. Bu da başka bir güvenlik katmanı larak çalışır. Bu dersin snunda, öğrenciler aşağıdaki bilgilere sahip luyrdu: E-imza ile gönderilen e-pstaların imzada belirtilen kişiden geldiğini söyleyebiliriz. E-imza ile gönderilen e-pstaların ylda değiştirilmediğini söyleyebiliriz. Alıcının şifreleme anahtarı kullanılarak şifrelenen e-pstanın başkaları tarafından kunmamış lduğunu söyleyebiliriz. E-sertifika kullanımının örneklenmesi için öğrencilerin derste ücretsiz e-sertifika veren sitelerden birisine girmesi isteniyr, kimlik bilgilerinin dldurulması aşamasına dek ilerlemeleri sağlanıyrdu. Böylece, ilk kez karşılaştıkları ve nlara syut görünen kavramların smutlaştırılmasına, yapılması gerekenlerin çk da zr lmadığını düşünmelerine zemin hazırlıyrlanıyrdu. Kalan işlemlerin dersten snra yapılması söyleniyr, site ziyareti aşamada snlandırılıyrdu. Şekil 1. Ücretsiz e-sertifika veren sitelerden birisi. Bu işlemden snra, daha önceden dersi veren kişi tarafından alınmış bulunan sertifikanın dsyası dersi veren kişinin kullandığı bilgisayarda tarayıcıya yükleniyr ve ara işlemler öğrencilere gösteriliyrdu. Ardından sertifikanın gerekli ayarları yapılıp, sertifika bilgilerinin tarayıcıda nereden görülebileceği anlatılıyrdu. 3
Şekil 2. Netscape Messenger prgramında e- sertifikanın bilgiyara yüklenmesi işleminin ilk aşaması. Şekil 5. Netscape Messenger prgramında e- sertifika ile ilgili ayarlar. Bir snraki aşamada, dersi veren kişi örnek larak bir mesaj yazıyr ve bunu imzalayıp kendi adresine gönderiyrdu. Mesaj ulaştığında, öğrencilere mesaj bilgisinden e-imza bilgisinin kdu gösteriliyrdu. Şekil 3. Netscape Messenger prgramında e- sertifika yüklenmesi ile ilgili işlemler. Şekil 6. Derste örnek larak gönderilen imzalı mesaj. Şekil 4. Netscape Messenger prgramında e- sertifika bilgilerinin incelenmesi. Şekil 7. İmzalı mesajın kdu. Daha snra şu uygulamalar yapılıyrdu: 4
Dersi veren kişinin kendi adresine şifreli larak mesaj göndermesi. Şekil 8. Derste örnek larak gönderilen şifreli mesaj. Şekil 11. İmzalı ve şifreli mesajın kdu. Her seferinde mesajın kdu açılıp aradaki farklar gösteriliyrdu. Dersin sn kısmında, daha önce dersi veren kişinin bilgisayarına yüklediği sertifikası silinip, az önce yllanan şifreli mesaj kunmaya çalışılıyrdu. Bu durumda, mesajın içeriğinin görülemediği öğrencilere kanıtlanıyrdu. Sertifikanın silinmesiyle, şifreyi çözecek anahtarın da silindiği anlatılıyr, e-sertifika kullanarak şifrelenen mesaj ylda başka bir internet kullanıcısının eline geçse bile, anahtarsız mesajı kuyamayacağı kanıtlanıyrdu. Şekil 9. Şifreli mesajın kdu. Dersi veren kişinin kendi adresine imzalı ve şifreli larak mesaj göndermesi. Şekil 10. Derste örnek larak gönderilen imzalı ve şifreli mesaj. Şekil 12. Derste örnek larak gösterilen şifreli mesajın e-sertifika dsyası bilgisayardan silindikten snraki görüntüsü. Sertifikanın taşınması ve krunması ile ilgili bilgiler üzerinde duruluyrdu. Bununla ilgili larak aşağıdaki alıştırmalar yapılıyrdu: Disket ya da USB flash diskte taşınan sertifikanın kullanılacak bilgisayara nasıl yükleneceği ve şifre ile krunması gösteriliyrdu. Paylaşılan bilgisayarı terk ederken sertifikayı disket ya da USB flash diske almanın ve gerektiği zaman bilgisayardan silmenin ylu öğretiliyrdu. Bu özellikle üniversitenin bilgisayarlarında ödev yapacak öğrenciler açısından 5
Dersin Uygulama Ödevi önemliydi. Çünkü bu bilgisayarlardaki güvenlik kartları kullanıcının bilgisayara ekleyebildiği dsyaları, kullanıcı bilgisayarı kapattığında tmatik larak siliyrdu. Dersin ardından öğrencilere bir hafta içinde teslim etmeleri gereken bir ödev veriliyrdu. Bu ödev için sırasıyla şunlar yapılıyrdu: Öğrencinin e-sertifika veren bir siteden sertifika alması gerekiyrdu. Öğrenci e-sertifikayı aldıktan snra dersi veren kişiye imzalı bir mesaj yllayarak ödeve başlamaya hazır lduğunu bildiriyrdu. Dersi veren kişi, öğrencinin imzalı mesajını aldıktan snra kişiye özel sruları içeren bir mesajı, öğrencinin daha önce gönderdiği imzalı mesajdan yararlanarak bilgisayarının kayda geçirdiği anahtarı kullanarak şifreliyrdu. Dersi veren kişi, şifrelediği mesajı aynı zamanda imzalıyrdu. Çünkü öğrencinin bu mesaja karşılık larak göndermesi gereken mesaj, şifreli lacaktı. Öğrenci, kendi bilgisayarında kayıtlı bulunan e-sertifikasının yardımıyla şifrelenmiş mesajın içeriğini kuyabiliyr, dersi veren kişinin srularına cevaben hazırladığı mesajı şifreleyerek gönderiyr ve bunu yapabildiğinde ödevi de başarıyla tamamlamış luyrdu. Ödev Sırasında Karşılaşılan Zrluklar Ödevde en sık karşılaşılan prblem, e-sertifika almaya çalışırken başarısız lunması durumunda, kimlik bilgileri bir kez böyle bir sitenin kayıtlarına geçtiğinde, aynı kimlikle ve kullanıcı adıyla ikinci bir sertifika alınamamasıydı. Ücretsiz sertifika veren siteler çk az sayıdaydı. Bu siteler tüketildiği zaman sıkıntı yaşanıyrdu. araştırıp, uygun lanları hızla ders prgramına dahil etmeli. E-sertifika kullanımının yaygınlaştırılması için knunun derslerde anlatılması ve uygulanması yararlı lacaktır. Yapılan pilt çalışma başarılıydı. Uygulamadan snra yapılan sınavda, bu knuda srulan karmaşık sruların öğrenciler tarafından yüksek bir başarı ranıyla cevaplandığı gözlemlendi. Yukarıda ayrıntıları verilen dersin yapıldığı üniversitede öğrenim dili İngilizceydi. Benzer bir dersin Türkçe öğrenim veren bir üniversitede uygulanması, adımları Türkçe lan bir e-sertifika alma işlemini gerekli kılar. Bunun için ücretsiz deneme sertifikası veren Türkçe web sitelerine başvurmak gerekecektir. Dersi na göre düzenlemek yararlı lur [3-5]. Öğrencilerin nitelikli sertifika almalarını şart kşmak uygun lmayacaktır. Zira bu tür sertifikalar ücret karşılığında verilmektedir. Öte yandan, derste nitelikli ve nitelikli lmayan sertifikaların güvenilirlik açısından farklı ldukları mutlaka vurgulanmalıdır. Kaynaklar [1] Intrductin T Digital Certificates, What Are Digital Certificates Used Fr, Verisign Avustralya, www.verisign.cm.au/repsitry/tutrial/digital/intr1.shtml [2] Bettcher, J. V., Pwell, A., Digital Certificates What Are They, and What Are They Ding in My Brwser, www.cren.net/crenca/dcs/syllabus.pdf, 5-7, 2002. [3] Kamu SM: www.kamusm.gv.tr/net/bilgiler/urunhizmet/sertifikal ar.jsp [4] TurkTrust: www.turktrust.cm.tr/dnm_str.jsp [5] Hermes: www.dijital-imza.cm/interaktif/frm.htm Snuçlar Ve Öneriler İnternet hakkında detaylı bilgi verilen dersler artık üniversitelerin müfredatlarında yer alıyr. Bazı üniversiteler bilgisayar dnanımı knusunda yaşadıkları sıkıntıyı henüz aşamadılar. Ancak durum iyiye gidiyr. Üniversite tplumun önünde gitmeli, öncü lmalı. Teknljik yenilikleri tasarlamalı, tasarlanmış lan teknljik uygulamaları bir an önce srgulayıp, deneyip, dünyadaki uygulamalarını 6