Elektronik imzalı bir belgenin doğrulanması; belgenin imza anında geçerli bir nitelikli elektronik sertifika ile imzalanıp imzalanmadığının, imza sahibinin kimliğinin, imza zamanının ve belgenin imza sonrası değiştirilmediğinin teknik araçlarla teyit edilmesi işlemidir. 5070 sayılı Elektronik İmza Kanunu uyarınca, bu doğrulama süreci belgenin ıslak imzalı bir belgeyle aynı hukuki sonucu doğurması için zorunludur. Doğrulama işlemi yapılmadan belgenin içeriği veya imza sahibi hakkında kesin bir hukuki kanaate varılamaz; zira sadece görsel bir imza görüntüsü veya kâğıt çıktı, teknik bir doğrulama raporu olmaksızın ispat gücü bakımından yetersiz kalabilir.
Elektronik İmza ve Zaman Damgası Doğrulama Süreci Nasıl İşler?
Doğrulama süreci, belgenin kriptografik yapısının, sertifika zincirinin ve zaman damgasının matematiksel algoritmalarla kontrol edilmesini gerektirir. İlk adımda, imzanın Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yetkilendirilmiş bir Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) tarafından verilen nitelikli elektronik sertifika ile atılıp atılmadığı incelenir. İmza anında sertifikanın geçerli olup olmadığı, iptal listeleri üzerinden kontrol edilerek teyit edilmelidir.
Zaman damgası, belgenin belirli bir tarihte var olduğunu ve o tarihten sonra üzerinde herhangi bir değişiklik yapılmadığını ispatlayan, ESHS tarafından elektronik imzayla mühürlenen bir kayıttır. Zaman damgası, sertifika süresi dolduktan sonra bile imzanın geçerliliğini korumak için kritik bir delil niteliği taşır. Veri bütünlüğü ise belgenin hash değerinin, imzalandığı andaki değerle karşılaştırılmasıyla tespit edilir; bu değerdeki en ufak bir sapma, belgenin değiştirildiğine işaret eder.
Doğrulama İşleminde Kullanılması Gereken Teknik Araçlar
Resmi kurumlar tarafından üretilen belgeler için ilgili kurumun e-Devlet üzerindeki EBYS evrak doğrulama sayfaları, en güvenilir ve birincil başvuru kaynağıdır. Teknik incelemeler ve bağımsız dosyalar için ise TÜBİTAK tarafından geliştirilen İmzager gibi güvenilir yazılımlar tercih edilmelidir. Bu araçlar, belgenin PAdES, CAdES veya XAdES gibi formatlarını analiz ederek imza zincirini görselleştirir.
Doğrulama sırasında dikkat edilmesi gereken temel husus, belgenin özgün elektronik dosyasının kullanılmasıdır. Kâğıt çıktılar veya ekran görüntüleri, belgenin dijital bütünlüğünü yansıtmadığı için teknik bir doğrulama aracı olarak kabul edilemez. Doğrulama raporu, belgenin imza anındaki durumunu ve sertifika geçerliliğini belgeleyen, dosyaya sunulması gereken temel teknik delildir.
“Av. Vedat Can SÜNERİN
Elektronik imzalı bir belgenin doğrulanması sürecinde, sadece görsel imza görüntüsüne güvenmek yerine, belgenin özgün elektronik dosyasının hash değeri ve zaman damgası verileri üzerinden teknik bir inceleme yapılması esastır. Sertifika süresi dolmuş olsa dahi, imza anında geçerli bir sertifikanın varlığı ve zaman damgası ile bu anın sabitlenmiş olması, belgenin hukuki geçerliliğini korur. Uygulamada, doğrulama raporunun dosyaya sunulması, ispat yükünün yerine getirilmesi bakımından kritik bir adımdır.”
Dijital Delillerde İspat Yükü ve Hukuki Sınırlar
Elektronik imza, kanun gereği ıslak imza ile aynı hukuki sonucu doğursa da, imzanın inkarı veya belgenin sahteliği iddiası durumunda ispat yükü genel hukuk kurallarına tabidir. Dijital delillerin bütünlüğü, hesap ve cihaz bağlantısı korunarak sağlanmalıdır. Seçilmiş ekran görüntüleri yerine, dosyanın orijinali üzerinden yapılan doğrulama, hukuka aykırı veri elde edilmesi riskini ortadan kaldırır.
Tarafların sıfatı, işlemin yapıldığı tarih ve hukuki ilişkinin kaynağı, doğrulama raporuyla birlikte ayrı ayrı kaydedilmelidir. Birden çok başvuru yolu kesişiyorsa, her yolun amacı ve diğerine etkisi değerlendirilmelidir. Bir kurum başvurusunun yürütülmesi, diğer hukuki yolların süresini kendiliğinden durdurmaz; bu nedenle her işlem için ayrı bir takip çizelgesi oluşturulmalıdır.
Elektronik İmza Formatlarının (PAdES, CAdES, XAdES) İspat Değerine Etkisi
Elektronik imzalı belgelerin teknik doğrulaması, belgenin hangi formatta (PAdES, CAdES veya XAdES) oluşturulduğuna bağlı olarak farklı analiz yöntemleri gerektirir. PAdES (PDF Advanced Electronic Signatures) formatı, belgenin doğrudan PDF dosyası içerisinde görselleştirilmesine olanak tanıdığı için hukuki işlemlerde en sık karşılaşılan türdür. Ancak CAdES veya XAdES formatları, belgenin içeriğinden bağımsız bir imza dosyası veya XML yapısı sunduğundan, bu dosyaların doğrulanması sırasında imza ile veri arasındaki bağlantının kopmaması için özel yazılımlar kullanılmalıdır.
İmza formatı, belgenin uzun süreli saklanabilirliği ve arşivlenebilirliği üzerinde doğrudan etkilidir. Özellikle LTV (Long Term Validation) özelliğine sahip imzalar, sertifika sağlayıcısının iptal listeleri erişilemez hale gelse dahi imzanın geçerliliğini korumasına yardımcı olur. Bir belgenin hangi formatta imzalandığının tespiti, teknik inceleme raporunda mutlaka belirtilmeli ve kullanılan doğrulama aracının bu formatı desteklediği teyit edilmelidir. Format uyumsuzluğu, imzanın teknik olarak geçersiz görünmesine yol açarak ispat sürecinde gereksiz tereddütler yaratabilir.
İmza İnkârı ve Teknik İnceleme Sürecinde Karşılaşılan Riskler
Elektronik imza ile atılan bir işlemin inkârı durumunda, imza sahibinin sertifikasını ve imza oluşturma verisini (akıllı kart, USB token veya mobil imza) üçüncü kişilerin erişimine açık bırakıp bırakmadığı temel inceleme konusudur. İmza sahibi, imza oluşturma verisinin güvenliğini korumakla yükümlüdür; bu verinin başkası tarafından kullanıldığının iddia edilmesi, ispat yükünün yer değiştirmesine veya genişlemesine neden olabilir. Teknik inceleme sırasında, imza anında kullanılan cihazın log kayıtları ile sertifika kullanım geçmişi arasındaki uyum, imzanın aidiyetini belirleyen en güçlü delildir.
Doğrulama raporlarında karşılaşılan en büyük risk, imza zamanı ile zaman damgası arasındaki uyumsuzluktur. Eğer belgenin oluşturulma tarihi ile zaman damgası verisi arasında mantıksal bir çelişki varsa, belgenin sonradan üretildiği veya manipüle edildiği şüphesi doğar. Bu tür durumlarda, yalnızca imza geçerlilik raporu yeterli olmaz; belgenin oluşturulduğu sistemin zaman senkronizasyonu ve sunucu logları gibi yan delillerin de dosyaya eklenmesi gerekir. Teknik bir hata veya sistem saati sapması, belgenin hukuki geçerliliğini zayıflatan bir unsur olarak değerlendirilebilir.
Dijital Delillerin Bütünlüğünü Korumak İçin Alınması Gereken Önlemler
Elektronik imzalı bir belgenin dosyaya sunulması aşamasında, dosyanın hash (özet) değerinin korunması, belgenin değiştirilmediğinin en somut kanıtıdır. Dosya, bir klasörden diğerine kopyalanırken veya e-posta ile iletilirken dosya yapısında meydana gelebilecek en küçük bir bit değişikliği, hash değerini tamamen değiştirecektir. Bu nedenle, dijital delillerin sunulmasında dosyanın orijinal hash değerinin bir tutanakla kayıt altına alınması ve mahkemeye veya ilgili kuruma bu değer üzerinden sunulması, delil bütünlüğünün korunması açısından zorunludur.
Bulut tabanlı depolama alanlarında saklanan belgeler için erişim yetkileri ve dosya geçmişi (version history) kayıtları, delil zincirinin bir parçası olarak saklanmalıdır. Belgenin üzerinde yapılan her türlü değişiklik, sistem tarafından otomatik olarak kaydediliyorsa, bu kayıtlar imza sonrası müdahale iddialarına karşı savunma stratejisi oluşturulurken kullanılabilir. Dijital delilin sunumu sırasında, belgenin sadece son halinin değil, gerekiyorsa imza anındaki versiyonunun da teknik olarak erişilebilir olması, ispat yükünü yerine getiren tarafın elini güçlendiren bir unsurdur.
Sık Sorulan Sorular
Elektronik imzalı belgenin çıktısı hukuken geçerli midir?
Hayır, sadece kâğıt çıktı tek başına yeterli değildir. Belgenin hukuki geçerliliği, elektronik dosyanın kendisi ve içindeki imza verisinin teknik araçlarla doğrulanmasıyla mümkündür.
Zaman damgası neden zorunludur?
Her belge için zorunlu olmasa da, belgenin imza zamanını ispatlamak ve sertifika süresi dolduktan sonra bile imzanın geçerliliğini korumak için kritik bir öneme sahiptir.
Sertifika süresi dolmuş bir imza geçerli midir?
İmza atıldığı tarihte sertifika geçerliyse ve zaman damgası ile bu durum sabitlenmişse, sertifika süresi dolsa dahi imza hukuken geçerli kabul edilir.
Doğrulama için hangi araçlar kullanılmalıdır?
Resmi kurum belgeleri için ilgili kurumun e-Devlet doğrulama sayfası, genel belgeler için ise TÜBİTAK İmzager veya BTK onaylı ESHS’lerin doğrulama araçları kullanılmalıdır.