5070 sayılı Elektronik İmza Kanunu: zaman damgası ne anlama gelir
"Zaman damgası" terimi, 5651'de değil 5070 sayılı Elektronik İmza Kanunu'nda tanımlanır. Bu sayfa, zaman damgasının resmî tanımını, elektronik sertifika hizmet sağlayıcısının (ör. Kamu SM) ne olduğunu ve bunun 5651 kapsamındaki erişim kayıtlarının bütünlük değeriyle ilişkisini açıklar.
Kanun No: 5070 · Kabul tarihi: 15/1/2004 · Resmî Gazete: 23/1/2004, sayı 25355.
Madde 1 — Amaç
Madde 1- Bu Kanunun amacı, elektronik imzanın hukukî ve teknik yönleri ile kullanımına ilişkin esasları düzenlemektir.
5070 sayılı Elektronik İmza Kanunu, md. 1 — mevzuat.gov.tr
Ne anlama geliyor? Bu kanun, elektronik imza ve onunla ilişkili kavramların (sertifika, zaman damgası) hukuki geçerliliğini düzenler; 5651'den tamamen ayrı, genel amaçlı bir kanundur.
Madde 3/h — Zaman damgası tanımı
Madde 3- Bu Kanunda geçen; […] h) Zaman damgası: Bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve / veya kaydedildiği zamanın tespit edilmesi amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kaydı, ifade eder.
5070 sayılı Elektronik İmza Kanunu, md. 3/h — mevzuat.gov.tr
Ne anlama geliyor? Zaman damgası, bir verinin belirli bir anda var olduğunu, bağımsız ve güvenilir bir üçüncü taraf (elektronik sertifika hizmet sağlayıcısı) aracılığıyla kanıtlayan bir kayıttır. Önemli nokta: bu tanım, zaman damgasının ne olduğunu açıklar; 5651 ya da ilgili yönetmelik, toplu kullanım sağlayıcılar için "zaman damgası" kelimesini zorunlu bir terim olarak kullanmaz (bakınız aşağıdaki ilişki bölümü).
Madde 8 — Elektronik sertifika hizmet sağlayıcısı
Madde 8- Elektronik sertifika hizmet sağlayıcısı, elektronik sertifika, zaman damgası ve elektronik imzalarla ilgili hizmetleri sağlayan kamu kurum ve kuruluşları ile gerçek veya özel hukuk tüzel kişileridir. Elektronik sertifika hizmet sağlayıcısı, Kuruma yapacağı bildirimden iki ay sonra faaliyete geçer.
5070 sayılı Elektronik İmza Kanunu, md. 8 — mevzuat.gov.tr
Ne anlama geliyor? Zaman damgası hizmeti, keyfi bir sunucu tarafından değil, belirli şartları sağlayıp Kuruma bildirimde bulunan bir elektronik sertifika hizmet sağlayıcısı tarafından verilir. Türkiye'de bu hizmeti sunan kuruluşlardan biri Kamu Sertifikasyon Merkezi'dir (Kamu SM, TÜBİTAK).
5651 Yönetmeliği md. 5/1-e ile ilişkisi
İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in 5/1-e bendi, yalnız ticari amaçla olanlar için, erişim kayıtlarının "doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değer"in günlük olarak kaydedilip iki yıl saklanmasını ister (bakınız Yönetmelik md. 5). Yönetmelik bu değerin nasıl üretileceğini teknik olarak belirtmez ve "zaman damgası" kelimesini kullanmaz.
Bununla birlikte, 5070 sayılı Kanun'daki zaman damgası tanımı — bağımsız bir üçüncü tarafın bir kaydın belirli bir anda var olduğunu elektronik imzayla doğrulaması — tam olarak "doğruluk, bütünlük" kavramlarının teknik karşılığıdır. Bu nedenle nitelikli bir zaman damgası almak, Yönetmeliğin istediği bütünlük değerini güçlendiren, güvenilirliği artıran bir uygulamadır; ancak mevzuat metninde evrensel ve ayrı bir "zaman damgası zorunluluğu" yoktur. "Zaman damgası olmadan loglar geçersizdir" ya da "zaman damgası yasal zorunluluktur" gibi ifadeler mevzuat metnine dayanmaz.
izgate'in günlük zaman damgası uygulaması
izgate, her arşiv segmentini önce SHA-256 zinciri ile bir öncekine bağlar, ardından kuruluma özel bir Ed25519 anahtarıyla imzalar. Bu imzalı segmentler için günde bir kez, Kamu SM üzerinden İzHost'un merkezi servisi aracılığıyla nitelikli bir zaman damgası alınır (o günün damgalanmamış tüm segmentlerinin özeti bir Merkle kökünde birleştirilir ve bu kök damgalanır); her gece otomatik bir bütünlük doğrulaması yapılır. Bu üç katman birlikte, bir kaydın sonradan değiştirilmediğini ve belirtilen tarihte var olduğunu güçlü biçimde destekler.
Bu uygulama, delil değerini güçlendirmek amacıyla sunulan ek bir güvencedir — mevzuatın tüm toplu kullanım sağlayıcılar için zorunlu kıldığı evrensel bir şart olarak sunulmaz.
Sıkça sorulan sorular
Zaman damgası olmadan tuttuğum loglar geçersiz mi olur?
Hayır. Mevzuat, tüm toplu kullanım sağlayıcılar için ayrı ve zorunlu bir "zaman damgası" şartı getirmez. Yalnızca ticari amaçla olanlar için Yönetmelik md. 5/1-e, kayıtların doğruluk/bütünlük/gizliliğini teyit eden bir değerin günlük kaydedilmesini ister; zaman damgası bu değeri güçlendiren bir yöntemdir, tek zorunlu yöntem değildir.
Zaman damgasını kim veriyor?
5070 sayılı Kanun md. 8 kapsamında yetkilendirilmiş bir elektronik sertifika hizmet sağlayıcısı verir. Türkiye'de bu hizmeti sağlayan kuruluşlardan biri Kamu Sertifikasyon Merkezi'dir (Kamu SM). izgate, günde bir kez bu servis üzerinden nitelikli zaman damgası alır.
izgate neden saatlik değil günlük zaman damgası alıyor?
Arşiv segmentleri saat başı kapanıp SHA-256 zinciri ve Ed25519 imzayla anında korunur; bu, bütünlüğü segment oluştuğu anda güvence altına alır. Üzerine eklenen nitelikli zaman damgası, günde bir kez, o günün tüm damgalanmamış segmentlerini tek bir Merkle kökünde birleştirip damgalayarak ek bir bağımsız zaman kanıtı sağlar.
Bu sayfa bilgilendirme amaçlıdır; mevzuatın güncel hâli için resmî metne (mevzuat.gov.tr) bakınız.
Ağınızı 5651'e uygun hâle getirmek bir günlük iş.
izgate Bulut'u firewall cihazı sayınıza ve disk ihtiyacınıza göre yapılandırın; kurulum yok, dakikalar içinde kullanmaya başlayın. Sorularınız için bizi arayın.