Zaman damgası, bir elektronik verinin belirli bir anda var olduğunu ve o andan sonra değiştirilmediğini yetkili bir sertifika hizmet sağlayıcısının onayıyla kanıtlayan elektronik kayıttır. 5651 sayılı Kanun kapsamında tutulan erişim ve işlem loglarının hukuki delil değeri taşıyabilmesi için, kayıtların üretildikleri zamanın güvenilir biçimde belgelenmesi ve bütünlüklerinin bozulmadığının gösterilmesi gerekir. Zaman damgası tam olarak bu ihtiyacı karşılar: logun içeriğinden üretilen özet değere kesin bir tarih-saat bilgisi bağlar.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Yükümlülüklerinizin kapsamı için güncel mevzuatı ve uzman görüşünü esas alın.
Zaman Damgası Nasıl Çalışır?
Zaman damgası, logun tamamını değil, ondan matematiksel olarak türetilen bir özeti (hash) esas alır. Süreç kısaca şöyle işler:
- Log kaydının içeriğinden tek yönlü bir özet (hash) hesaplanır.
- Bu özet, yetkili bir zaman damgası sunucusuna gönderilir.
- Sunucu, özete kendi güvenilir saat bilgisini ekler ve bu bütünü kendi elektronik sertifikasıyla imzalar.
- Geri dönen zaman damgası jetonu, logla birlikte saklanır ve daha sonra kaydın o anda mevcut olduğunun ispatı için kullanılır.
Özetten geriye logun içeriği elde edilemediği için, veri bir üçüncü tarafa gönderilmeden yalnızca özeti damgalanmış olur. İçeriğin tek bir karakteri bile değişirse özet tamamen değişir ve damga geçersiz kalır; bu da her türlü sonradan müdahaleyi görünür hale getirir.
Zaman Damgası ile E-İmza Arasındaki Fark
İki kavram sıkça karıştırılır ancak farklı soruları yanıtlar. E-imza "bunu kim onayladı?" sorusuna, zaman damgası ise "bu ne zaman vardı ve o zamandan beri değişti mi?" sorusuna cevap verir. 5651 log imzalamada güçlü delil değeri için ikisi birlikte kullanılır.
| Özellik | Zaman Damgası | E-İmza |
|---|---|---|
| Kanıtladığı şey | Verinin varlık anı ve bütünlüğü | İmzalayanın kimliği ve iradesi |
| Temel soru | Ne zaman? Değişti mi? | Kim? Onayladı mı? |
| Zaman bilgisi | Güvenilir dış saat kaynağı | Kendi başına bağlayıcı zaman içermez |
| Sağlayıcı | Yetkili zaman damgası sunucusu | Nitelikli sertifikaya sahip imzalayan |
Yetkili Sertifika Merkezi ve Kontör Modeli
Zaman damgasının hukuki geçerlilik taşıması için, damganın yetkili bir sertifika hizmet sağlayıcısından alınması gerekir. Türkiye'de bu hizmeti veren yetkili merkezlerden biri TÜBİTAK Kamu SM'dir. Kamu SM'nin zaman damgası hizmeti kontör esasıyla çalışır: her damgalama işlemi bir kontör harcar. Bu nedenle log imzalayan bir sistemin sürekli çalışabilmesi için yeterli kontör bakiyesinin bulundurulması gerekir.
- Kontörler önceden satın alınır ve her imzalama işleminde tüketilir.
- Bakiye tükenirse yeni damgalama yapılamaz; bu yüzden bakiyenin izlenmesi kritiktir.
- Kontör tüketimi, imzalama sıklığına ve damgalanan kayıt gruplarının yapısına göre değişir.
SignLogger Logları Her Gün İmzalar
SignLogger, tuttuğu erişim ve işlem loglarını her gün yetkili sertifika hizmet sağlayıcısı (TÜBİTAK Kamu SM) üzerinden zaman damgası ve e-imza ile imzalar. Böylece her günün kayıtları, o güne ait güvenilir bir tarih bilgisiyle ve bütünlüğü kanıtlanmış biçimde saklanır. Kayıtlar sonradan değiştirilmiş olsaydı damga geçersiz olacağından, imzalı loglar denetim ve adli talep durumlarında güçlü delil değeri taşır.
SignLogger markadan bağımsızdır; RADIUS destekli her güvenlik duvarıyla çalışır ve kurumun kendi altyapısında (VMware/Hyper-V) çalışacak şekilde konumlanır, böylece verileriniz kurum dışına çıkmadan yerinde (on-prem) kalır. Günlük imzalama ile ilgili yükümlülüklerin ayrıntısını 5651 log imzalama çözümümüz sayfasında bulabilirsiniz.
Sıkça Sorulan Sorular
Zaman damgası tek başına yeterli mi?
Zaman damgası verinin ne zaman var olduğunu ve değişmediğini kanıtlar ancak imzalayanın kimliğini göstermez. Güçlü delil değeri için genellikle e-imza ile birlikte kullanılır; SignLogger her ikisini bir arada uygular.
Loglar ne sıklıkta imzalanmalı?
Kayıtların bütünlüğünün düzenli olarak belgelenmesi beklenir. SignLogger logları her gün imzalayarak her güne ait kayıtları güvenilir bir tarih bilgisiyle koruma altına alır. Kesin süre yükümlülükleri için güncel mevzuata bakılmalıdır.
Kamu SM kontörü bittiğinde ne olur?
Kontör bakiyesi tükendiğinde yeni zaman damgası alınamaz. Bu nedenle bakiyenin izlenmesi ve zamanında yenilenmesi önemlidir; aksi halde günlük imzalama süreci kesintiye uğrayabilir.
Zaman damgası logun içeriğini üçüncü tarafa gönderir mi?
Hayır. Damgalama, logun içeriğinden üretilen özet (hash) üzerinden yapılır. Özetten içerik geri elde edilemediği için verinin kendisi paylaşılmaz; SignLogger'da loglar kurumun kendi altyapısında kalır.
İmzalı bir log sonradan değiştirilirse ne olur?
İçerikte en küçük bir değişiklik bile özeti tamamen değiştirir ve mevcut zaman damgası geçersiz hale gelir. Bu sayede her türlü sonradan müdahale doğrulama sırasında ortaya çıkar.
Zaman damgası hangi kurumdan alınmalı?
Hukuki geçerlilik için damganın yetkili bir sertifika hizmet sağlayıcısından alınması gerekir. SignLogger, TÜBİTAK Kamu SM gibi yetkili bir merkez üzerinden imzalama yapar.