Sertifika otoritesi

Sertifika otoritesi, dijital imzalama işlemi yapan ve belgeleyen kurumdur. Sertifika otoritelerinin görevi, açık anahtarları kendi gizli anahtarlarıyla imzalayarak 3. taraflara sunmaktır.

Dijital sertifika imzalama işlemi açık anahtar altyapısı kullanılarak yapılır. Açık anahtarlı şifreleme, kullanıcıların güvenli olmayan ağlarda dijital sertifikaların kullanılması suretiyle güvenli bir şekilde iletişim kurabilmesini ve karşı tarafın kimliğini doğrulamasını sağlayan bir şifreleme yöntemidir.

Bağlanılan sitenin sertifikası, alan adını içeren Subject Alternative Name kısmı ile doğrulanır. Sertifika otoritesi ilk önce bu sertifikadaki alan adlarının, gerçekten sertifikayı sunan kişiye ait olduğunu doğrular, daha sonra imzalar. Sonra ise tarayıcılar, imzalı sertifikayı sunucudan alıp otorite güvenilirliğini kontrol ettikten sonra, imzalı sertifikadaki alan adı ve bağlanılan sitenin alan adını karşılaştırır.

Açık anahtar ile şifreleme işlemleri sertifika otoriteleri dışında kişiler tarafından da yapılabilir. Ancak bu şekilde yapılan sertifika imzalamaları, imzalayan kişiye web tarayıcıları tarafından güvenilmediği için güvenli bulunmaz. Web tarayıcıları sertifika doğrulaması için SO sertifikalarını kullanır. Bu sertifikalar tüm yaygın web tarayıcıları tarafından tanınır.

Sertifika otoriteleri genellikle imzalama işlemlerini sertifika sağlayıcıları aracılığıyla yaparlar. Dünyada birçok sertifika otoritesi vardır ve ilk akla gelenler Comodo, Symantec, GeoTrust, Digicert ve IdenTrust'tır.

Buna rağmen her sertifika otoritesi güvenilir değildir. Kötü amaçlı bir sertifika otoritesi, Man-in-the-middle saldırısı gerçekleştirmek için kötü amaçlı bir sertifika oluşturup onu imzalayabilir. Sertifika otoritesine güvenen bir istemci, bu otorite tarafından imzalı tüm sertifikalara güveneceği için güvenliği ve gizliliği tehlikeye atılır. 2012'nin sonlarına doğru, neredeyse tüm modern tarayıcı ve işletim sistemleri tarafından güvenilen, Türkiye bazlı sertifika otoritesi Turktrust tarafından Google için bir sertifika imzalanmıştır. Bu sertifikanın kitle izleme gibi kötü amaçlar ile kullanılıp kullanılmaması ile ilgili kesin bir bilgi bulunmamaktadır.

Sertifika otoriteleri, dijital sertifika ürünlerinin satışını dünya çapında ulusal olarak hizmet veren sertifika sağlayıcılarına yönlendirmişlerdir. Böylece dijital imzanın sağlanması için gerekli olan yönetmeliklere uygunluk ve sertifikayı talep eden yetkililerin doğrulanması işlemi hızlanmıştır.

Dijital imzalama işlemi için sertifikayı talep eden kişi veya kurumun doğrulama yapması gerekir. Sertifikalar "domain doğrulama" veya "kurum doğrulama" yöntemiyle tahsis edilir. Doğrulama işlemi sertifika otoritesi tarafından denetlenir.

Domain doğrulaması gerektiren TLS sertifikaları için e-posta veya dosya tabanlı başta olmak üzere birçok doğrulama yöntemi kullanılmaktadır. E-posta ile domain doğrulama yapılacak ise sertifika otoritesi (CA), web sitesinin (alan adı) whois kaydında geçen e-posta adresine ya da webmaster@, hostmaster@, admin@, administrator@ gibi genellikle alan adı yetkililerinin sahip olabileceği e-posta hesaplarına doğrulama iletisi gönderir. Yetkiliden bu doğrulama iletisinde geçen URL adresinden alan adı sahipliğini doğrulaması beklenir, doğrulamanın ardından sertifika tahsis edilir. Dosya tabanlı doğrulama yapılacak ise, sertifika sağlayıcıları tarafından sertifikayı talep eden yetkiliye iletilen bir .txt dosyasının, web sitesinin ana dizinine (/) gönderilmesi gereklidir. Bu işlemin ardından sertifika otoritesi tarafından doğrulama işlemi otomatik olarak yapılır. Dosya tabanlı doğrulama genelde e-posta servislerinde sorun olması durumunda tercih edilir. Ayrıca web sitesine gönderilen dosyanın adı ve içeriğinde sertifika talep edilen alan adının SHA1 ve MD5 ile şifrelenmiş verisi bulunur. Bu şifrelenmiş veri sertifika otoritesi tarafından çözülerek, alan adı doğrulanmış olur.