MA3 API E-İmza Yazılım kütüphaneleri, BİLGEM’in 20 yılı aşkın E-İmza deneyimiyle üretilmiş olup, güvenliği ve standartları belirlenmiş, kullanımı kolay arayüzleriyle, imzalama işlemlerinin hızlı ve güvenli bir şekilde yapılmasına imkân verir. Yazılımlara kolayca e-imza entegrasyonu yapılabilmesi için Java ve .Net platformlarında yazılım kütüphaneleri geliştirilmiştir. MA3 API başvuruları api[at]kamusm.gov.tr mail adresi üzerinden yapılabilmektedir.

MA3 API'nin kurum uygulamasına entegrasyonu, iş süreçlerine uygun şekilde geliştirilmesi ve uygulama içerisindeki kullanımına yönelik yazılım geliştirme faaliyetleri, entegrasyonu gerçekleştiren kurumun sorumluluğundadır.

E-imza alanı ile ilgili farkındalık kazanmak ya da e-imza ile ilgili konularda destek almak için web sitemizdeki Hizmetler/Danışmanlık ve Eğitim bölümünü ziyaret ederek E-imza Farkındalık ve E-imza Teknolojisi ile ilgili hizmetlerimiz hakkında bilgi alabilirsiniz.

E-imza entegrasyonunun tamamlanmasının ardından, e-imza oluşturan ve doğrulayan uygulamalar için E-imza Uyum Değerlendirme Hizmeti alabilirsiniz. Bu hizmet kapsamında, uygulamaların e-imza mevzuatında geçen uluslararası teknik standartlara uygunluğu BİLGEM Kamu SM tarafından değerlendirilmektedir. Elektronik imza kabiliyetine sahip Elektronik Belge Yönetim Sistemi (EBYS) yazılımları ve kamu kurumları arasında resmi yazışmalarda kullanılan Elektronik Yazışma Projesi (EYP) yazılımları elektronik imza uyum değerlendirmenin başlıca hizmet alanlarıdır. Uyum Değerlendirme hizmeti hakkında ayrıntılı bilgiye E-imza Uyum Değerlendirme Hizmeti sayfasından ulaşabilirsiniz.

Kamu SM, entegrasyon aşamasında sertifika kontrolü ve zaman damgası servislerinin kullanımına ilişkin bazı hizmetler sunmaktadır. Bu hizmetler aşağıda listelenmiştir:

• Test Zaman Damgası (ZD): Test Zaman Damgası Sunucusu, http://tzd.kamusm.gov.tr adresinden hizmet vermektedir. Test kullanıcısı talep etmek amacıyla Kamu SM bilgi[at]kamusm.gov.tr adresine e-posta gönderilmesi gerekmektedir. Mail içeriğinde ise "Kurum adı, kurum vergi kimlik numarası, kurum adresi, kurum sabit telefon, yetkili kişi adı ve soyadı, cep telefonu numarası, yetkili kişi e-posta" bilgilerinin yer alması gerekmektedir.

• Test Kullanıcı Sertifikaları: Uygulama geliştirme aşamasında gerçek sertifikalar kullanılmadan test yapılabilmesi amacıyla Kamu SM Test Sistemi kapsamında Nitelikli Elektronik Sertifika, VPN Logon Sertifikası, KEP İşlem Sertifikası, Elektronik Mühür Sertifikası ve Mali Mühür Sertifikası sağlanmaktadır. Test kullanıcı sertifikaları ile ilgili bilgilere https://kamusm.bilgem.tubitak.gov.tr/hizmetler/test_sistemi/test_sistemi_kullanici_sertifikalari.jsp web sayfasından erişilebilir.

• MA3 API Test Lisansı: Uygulama geliştirme sürecinde yalnızca test amaçlı kullanılmak üzere MA3 API Test Lisansı da talep edilebilmektedir. Entegrasyon çalışmalarında kullanılmak üzere MA3 API Test Lisansını da içeren E-İmza Test Paketi ve farklı tipte diğer test sertifikaları için Test Sertifikası ve Toplu Kart Okuyucu Başvuru Formu’nun imzalı ve mühürlü/kaşeli halinin bilgi[at]kamusm.gov.tr adresine e-posta iletilmesi gerekmektedir.

İmza formatı seçimi, geliştirilecek uygulamanın ihtiyaçları, imzalanacak veri yapısı ve kullanım senaryosuna göre yapılmalıdır. 5070 sayılı Elektronik İmza Kanunu kapsamında yapılan ikincil düzenlemelerden biri olan “Güvenli Elektronik İmza Oluşturma ve Doğrulama Uygulamaları ile Güvenli Elektronik İmza Formatlarına Dair Usul ve Esaslara İlişkin Kurul Kararı” ile güvenli elektronik imzaların uluslararası standartlarla uyumlu CAdES, PAdES ve XAdES formatlarında oluşturulabileceği belirtilmiştir. Bu imza formatlarına ilişkin teknik bilgiler ile kullanım senaryolarına ilişkin detaylı bilgiye https://yazilim.kamusm.gov.tr/eit-wiki sayfasından ulaşılabilir. Uygun imza formatının belirlenmesinden sonra, ilgili format için ihtiyaç duyulan imza profili (örneğin BES, ES-T, ES-X Long veya ES-A) kullanılarak imzalama işlemi gerçekleştirilebilir.

Bunun yanı sıra, oluşturulan güvenli elektronik imzaların uzun dönemli doğrulanabilirliğini ve güvenilirliğini sürdürebilmesi amacıyla "Elektronik İmza Kullanım Profilleri Rehberi"nde tanımlanan P1, P2, P3 ve P4 imza profilleri kullanılmaktadır. Bu profiller, elektronik imzalı belgelerin doğrulanması sırasında gerekli olabilecek zaman damgası, sertifika ve iptal bilgileri gibi unsurların imza içerisinde veya imzaya bağlı veri yapılarında bulunmasını sağlayarak Türkiye’de kurumlar arası birlikte çalışabilirliğin ve uzun dönemli doğrulanabilirliğin temin edilmesine katkıda bulunmaktadır.

Kurumlar arası elektronik resmi yazışmalarda kullanılan e-Yazışma Paketi (EYP) için ise e-Yazışma Teknik Rehberi ile birlikte Elektronik İmza Kullanım Profilleri Rehberi esas alınmaktadır. EYP kapsamında oluşturulan elektronik imza ve elektronik mühürlerin, ilgili rehberlerde tanımlanan profil ve teknik gereksinimlere uygun olması beklenmektedir.

Elektronik imza uygulamalarında kullanılan CAdES, PAdES ve XAdES, imzalanan veri türüne ve kullanım senaryosuna göre geliştirilen elektronik imza formatlarıdır.

CAdES (CMS Advanced Electronic Signatures), elektronik imza verisinin CMS (Cryptographic Message Syntax) yapısı üzerine oluşturulduğu imza formatıdır. Genel amaçlı dosya ve veri imzalama süreçlerinde kullanılabilir. Kamu kurumları arasındaki elektronik yazışmalarda kullanılan Elektronik Yazışma Paketi (EYP) kapsamında da CAdES tabanlı imza formatları tercih edilmektedir.

PAdES (PDF Advanced Electronic Signatures), PDF dokümanlarının elektronik olarak imzalanması amacıyla kullanılan imza formatıdır. PDF dosyalarının görünümünün korunarak imzalanmasına imkân sağlaması nedeniyle elektronik belge, sözleşme ve başvuru dokümanları gibi PDF tabanlı süreçlerde yaygın olarak kullanılmaktadır.

XAdES (XML Advanced Electronic Signatures), başta XML dokümanlarının elektronik olarak imzalanması için kullanılan imza formatıdır. XAdES imza sonucunda .xml uzantılı bir dosya oluşmaktadır. XML dosyasında bölümler halinde imza özellikleri ve içerik görüntülenebilmektedir. XML tabanlı veri alışverişi yapan uygulamalarda, özellikle yapılandırılmış elektronik belgelerin imzalanması gereken süreçlerde tercih edilmektedir.

Bu imza formatları, ETSI tarafından yayımlanan standartlar ile tanımlanmakta olup elektronik imzanın doğrulanabilirliğinin, bütünlüğünün ve uzun dönem geçerliliğinin sağlanmasına yönelik özellikler içermektedir. İmza formatları ile ilgili ayrıntılı bilgiye https://yazilim.kamusm.gov.tr/eit-wiki sayfasından ulaşılabilir.

Uzun dönemli doğrulama gerektiren senaryolarda ES-X Long veya ES-A imza profilinin kullanılması önerilir. Bu profillerle ilgili detaylı bilgiye https://yazilim.kamusm.gov.tr/eit-wiki sayfasından ulaşılabilir.

Bir dokümanın birden fazla kişi tarafından elektronik olarak imzalanması gerektiğinde iki farklı yöntem kullanılabilir: Paralel İmza ve Seri İmza.

Paralel İmza: Tüm imzacılar aynı dokümanı, birbirinden bağımsız olarak imzalar.

• Her imza aynı seviyededir; imzacılar birbirinin imzasını imzalamaz.

• Teknik olarak her imza yalnızca dokümanın kendisine bağlıdır.

• İmzalardan biri çıkarılırsa diğer imzalar bundan etkilenmez ve geçerliliğini korur.

• Bu yapı genellikle imzacıların birbirinden bağımsız olduğu durumlarda tercih edilir.

Seri İmza: İmzalar belirli bir sıraya göre atılır.

• Her yeni imza hem dokümanı hem de kendisinden önce atılmış imzaları kapsar.

• Teknik olarak her imzacı, önceki imzaları da kriptografik olarak imzalamış olur.

• Aradaki bir imza çıkarılırsa, o imzadan sonra atılan imzalar da geçersiz hale gelir.

• Bu yapı, onay mekanizmasının sıralı olduğu (örneğin hiyerarşik onay süreçleri) durumlarda kullanılabilir.

CAdES ve XAdES imza tiplerinde hem paralel hem seri imza oluşturulabilir. Ancak PDF yapısından kaynaklı olarak PAdES imzalarda paralel imzalama teknik olarak mümkün değildir. Yalnızca seri imza oluşturulabilir. Bu nedenle çoklu imzalı süreçlerde hangi imza yapısının kullanılacağı, ihtiyaç duyulan iş akışına göre belirlenmelidir.

İhtiyaca uygun sertifika türü; kullanım amacı, kullanım senaryosu ve hukuki gereksinimler dikkate alınarak belirlenmelidir. Ayrıca sertifikanın gerçek kişi veya tüzel kişi adına düzenlenecek olması ile kullanılacağı uygulama da tercih edilecek sertifika türünü belirleyen önemli unsurlardır.

Kamu SM tarafından sunulan sertifikalar ve kullanım alanları hakkında ayrıntılı bilgiye web sitemizdeki Ürünler bölümünden ulaşılabilir. İhtiyaç duyulması hâlinde, bilgi[at]kamusm.gov.tr e-posta adresi üzerinden Kamu SM ile iletişime geçilerek uygun sertifika türü hakkında bilgi alınabilir.

Kamu SM'nin sunduğu Mobil Nitelikli Elektronik Sertifika (Mobil NES) hizmeti, GSM operatörü tarafından sağlanan mobil imza destekli SIM kartına gömülü sertifika ile mobil ortamda e-imza kullanımına imkân tanımaktadır. Detaylı ürün bilgisi için https://kamusm.bilgem.tubitak.gov.tr/urunler/mobil_nes/ adresini ziyaret edebilirsiniz.

Mobil imzanın kullanılabilmesi için istemci ve sunucu bileşenlerinden oluşan bir entegrasyon altyapısının kurulması gerekmektedir. Kamu SM tarafından sunulan MA3 API E-İmza Yazılım Kütüphaneleri içerisinde yer alan infra modülü, mobil imza istemci API'sini sağlamaktadır. Entegrasyonu gerçekleştirecek kurumun, mobil imza servis sağlayıcılarına bağlanacak bir mobil imza sunucusu geliştirmesi beklenmektedir. Kurumlar, mobil imza API'sini kendi uygulamalarına entegre edecek ve sistemlerine uygun iletişim altyapısını oluşturacak şekilde geliştirme çalışmalarını kendileri gerçekleştirmelidir.

Kamu SM tarafından hâlihazırda “sunucu üzerinden imza” veya “bulut imza hizmeti” sunulmamaktadır. Mevcut elektronik imza hizmetleri kapsamında, 5070 sayılı Elektronik İmza Kanunu uyarınca oluşturulan nitelikli elektronik sertifikalar, güvenli elektronik imza oluşturma aracı (örneğin akıllı kart) içerisinde sunulmaktadır.

Toplu imzalama, imzalanması istenen birden fazla dokümanın tek seferde 5070 Sayılı Elektronik İmza Kanunu uyarınca yasal olarak geçerli şekilde istenilen imza formatında elektronik olarak imzalanmasını sağlayan bir imzalama yöntemidir. Toplu imzalama yeteneğine sahip uygulamalar tarafından belgelerin tek seferde imzalanması sağlanabilir. Konu ile ilgili detaylı bilgiye https://yazilim.kamusm.gov.tr/eit-wiki/doku.php?id=toplu_imzalama web sayfasından erişebilirsiniz.

Türkiye'de kamu kurum ve kuruluşları arasında elektronik ortamda gerçekleştirilen resmî yazışma-larda, Cumhurbaşkanlığı tarafından yayımlanan e-Yazışma Teknik Rehberi'nde tanımlanan e-Yazışma Paketi (EYP) kullanılmaktadır. E-Yazışma Paketi, resmî yazının kendisiyle birlikte doğrula-ma için gerekli bileşenlerini tek bir paket yapısı içerisinde barındırarak elektronik ortamda güvenli ve bütünlüğü korunmuş şekilde iletilmesini sağlar. Paket içerisinde kullanılan “Paraf Elektronik İmza” ve “Elektronik İmza” için P3/P4 CADES X-Long imza formatı; Elektronik Mühür için ise P3/P4 CAdES-A imza formatı kullanılmaktadır. Resmî yazışmalarda standartların sağlanması, kurumlar arasında birlikte çalışabilirliğin temin edilmesi ve belgelerin uzun dönem doğrulanabilirliğinin korunması amacıyla EYP'nin e-Yazışma Teknik Rehberi'nde tanımlanan kurallara uygun olarak oluşturulması ve doğrulanması gerekmektedir.

Türkiye’de resmi elektronik belgelerin hukuki geçerliliği "5070 sayılı Elektronik İmza Kanunu" ile düzenlenmiştir. Bu Kanun, elektronik ortamda oluşturulan verilerin güvenli biçimde imzalanmasını sağlayan güvenli elektronik imza kavramını tanımlamış ve güvenli elektronik imzanın elle atılan imza ile aynı hukuki sonucu doğuracağını hükme bağlamıştır.

Kanun uyarınca güvenli elektronik imza, nitelikli elektronik sertifikaya dayanılarak ve güvenli elektronik imza oluşturma aracı kullanılarak oluşturulur. Nitelikli elektronik sertifikalar, yetkilendirilmiş Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) tarafından verilir. Türkiye’de ESHS’lerin yetkilendirilmesi ve denetlenmesi görevi Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yürütülmektedir. Yetkili ESHS’ler https://www.btk.gov.tr/elektronik-sertifika-hizmet-saglayicilari web sayfasında listelenmektedir.

Bu çerçevede elektronik ortamda oluşturulan resmî belgeler, nitelikli elektronik sertifikaya dayalı güvenli elektronik imza ile imzalandıkları takdirde hukuken geçerli kabul edilmekte ve fiziksel ortamda oluşturulan imzalı belgelerle eşdeğer sayılmaktadır.

Türkiye’de kullanılan nitelikli elektronik sertifikalar, 5070 sayılı Elektronik İmza Kanunu kapsamında düzenlenmektedir. Bu Kanun, Avrupa Birliği'nin 1999/93/EC Direktifini temel almakla birlikte, söz konusu Direktif 2014 yılında yürürlüğe giren 910/2014 sayılı Avrupa Birliği Tüzüğü (eIDAS) ile yürürlükten kaldırılmıştır. eIDAS Tüzüğü'nün ülkemizde henüz tam karşılığı bulunmamaktadır.

eIDAS kapsamında bir elektronik imzanın veya elektronik mührün "nitelikli (qualified)" olarak kabul edilebilmesi için sertifika profili, güven hizmeti sağlayıcısı ve güvenilir kök sertifikalara ilişkin belirli gereksinimlerin karşılanması gerekmektedir. Avrupa Birliği üyesi ülkelerin güvenilir kök sertifikaları, eIDAS kapsamında oluşturulan Avrupa Birliği Güvenilir Listesi'nde (EU Trusted List) yer almaktadır. Türkiye, eIDAS sistemine dahil olmadığından ülkemizdeki elektronik sertifika hizmet sağlayıcılarının kök sertifikaları bu listede bulunmamaktadır.

Bu nedenle, Türkiye'de düzenlenen nitelikli elektronik sertifikalar kullanılarak oluşturulan elektronik imzalar ile ülkemiz mevzuatına göre oluşturulan elektronik mühürler, eIDAS kapsamında nitelikli (qualified) elektronik imza veya elektronik mühür olarak kabul edilmemektedir. Buna bağlı olarak, bu imza ve mühürlerin Avrupa Birliği'ndeki eIDAS tabanlı uygulamalarda nitelikli elektronik imza veya elektronik mühür olarak doğrulanması ve kullanılması şu an için mümkün değildir.

E-imzalı belgelerin uzun dönem geçerliliği, kullanılan imza formatına ve imza içerisinde yer alan doğrulama verilerine bağlı olarak değişmektedir.

BES (Basic Electronic Signature), en temel imza seviyesidir. İmza yalnızca imza oluşturma anındaki sertifikaya dayanır ve uzun dönem doğrulama için gerekli zaman damgası ile doğrulama verilerini içermez. Bu nedenle sertifikanın imzanın geçerlilik durumu imzacının sertifikasının süresinin dolmasının ardından ispatlanamaz.

ES-T (Electronic Signature with Timestamp), BES imzaya ek olarak güvenilir bir zaman damgası içerir. Böylece imzanın belirli bir tarihte oluşturulduğu kanıtlanabilir. Ancak uzun dönem doğrulama için gerekli sertifika ve iptal durumu bilgilerini (CRL/OCSP vb.) içermediğinden tek başına uzun süreli doğrulama ihtiyacını karşılamaz.

ES-X Long (Extended Long), imzanın doğrulanması için gerekli sertifika zinciri ve iptal durumu bilgilerini imza içerisinde barındırır. Bu sayede çevrimiçi doğrulama hizmetlerine ihtiyaç duyulmadan doğrulama yapılabilir ve uzun dönem doğrulama gereksinimleri büyük ölçüde karşılanır.

ES-A (Archive Electronic Signature) ES-X Long yapısına ek olarak arşiv zaman damgaları içerir. Belirli aralıklarla yenilenen arşiv zaman damgaları sayesinde, kullanılan kriptografik algoritmaların veya doğrulama verilerinin geçerlilik süreleri sona erse dahi imzanın hukuki ve teknik geçerliliği korunabilir. Arşiv zaman damgalarının uygun aralıklarla yenilenmesi hâlinde imza, ihtiyaç duyulan süre boyunca doğrulanabilirliğini sürdürebilir.

İmza türlerine ve formatlarına ilişkin bilgi edinmek için wiki sayfamızı ziyaret edebilirsiniz. https://yazilim.kamusm.gov.tr/eit-wiki/doku.php?id=cades

ES-X Long imza, uzun dönemli doğrulama verilerinden ESHS sertifikalarını, SİL ve OCSP gibi iptal durum kayıtlarını içerisinde barındıran imza türüdür. Bu verileri bulundurduğu için hem çevrimdışı doğrulamalarda hem de uzun dönemli doğrulama gereksinimi olan durumlarda kullanılabilmektedir.

ES-X Long imzada yer alan bu doğrulama verilerinin de bir ömrü bulunmaktadır ve bu verilerden biri geçersiz hale geldiği takdirde imza geçersiz olmaktadır. Bu nedenle uzun dönemli doğrulamanın garanti edilmesi için ES-A imza kullanımı önerilmektedir. ES-A imzada doğrulama verileri arşiv zaman damgasıyla koruma altına alınır. Belirli aralıklarla yapılacak arşivleme işlemiyle imza, istendiği müddetçe geçerliliğini korumaktadır.

İmza arşivleme konusunda ve imzanın hangi sıklıkla arşivlenebileceğine dair bilgi almak için wiki sayfamızı ziyaret edebilirsiniz. https://yazilim.kamusm.gov.tr/eit-wiki/doku.php?id=imza_arsivleme