Elektronik imza ve dijital imza: hangisine ihtiyacınız var?

“Hadi e-imzala ve geri gönder.” Yeterince basit, ta ki “elektronik imza” ile “dijital imza”nın aynı şeyi ifade ediyormuş gibi kullanıldığını fark edene kadar, oysa öyle değiller. Biri niyetle ilgili geniş bir fikirdir. Diğeri belirli bir kriptografi parçasıdır. Hangisine ihtiyaç duyduğunuzu bilmek, sizi hem basit bir formu gereğinden fazla karmaşıklaştırmaktan hem de önemli bir şeyi yeterince korumamaktan kurtarır.

Elektronik imza: geniş terim

Elektronik imza, imzalama niyetiyle yapılan herhangi bir elektronik işarettir. Bu kasıtlı olarak geniştir. Bir e-postanın altına adınızı yazmak sayılabilir. İmzanızı bir fareyle ya da bir parmakla bir PDF üzerine çizmek sayılır. “Kabul ediyorum” kutusunu tıklamak sayılabilir.

Onu bir imza yapan şey teknoloji değildir; niyet ve bağlamdır: imzalamayı kastettiniz ve bunu yaptığınıza dair makul bir kayıt var. Günlük anlaşmaların büyük çoğunluğu için tam olarak istenen şey budur. Bir onam formu, bir iç onay, bir teslimat makbuzu, birbirine güvenen iki kişi arasındaki bir serbest çalışma sözleşmesi. Net, niyetli bir elektronik imzadan daha ağır bir şeye ihtiyacınız yoktur.

Dijital imza: kriptografik tür

Dijital imza belirli, daha dar bir şeydir. Sıradan bir elektronik imzanın yapmadığı iki işi yapmak için kriptografiyi, bir dijital sertifikayı ve bir anahtar çiftini kullanır:

• Kimin imzaladığını kanıtlar. İmza, imzalayanı tanımlayan bir sertifikaya bağlıdır, ideal olarak güvenilir bir otorite tarafından verilmiş.
• Dosyanın o zamandan beri değişmediğini kanıtlar. İmzalandıktan sonra belgenin tek bir baytı değiştirilirse, imza bozulur ve herhangi bir okuyucu bunu anlayabilir. Bu, matematiğin içine yerleşik bir kurcalama kanıtıdır.

Yani her dijital imza bir elektronik imzadır, ama her elektronik imza dijital değildir. Dijital tür, üzerine doğrulanabilir kimlik ve bütünlük ekler. Bunu, riskin ve güven açığının daha yüksek olduğu yerlerde istersiniz: tanımadığınız bir tarafla yapılan bir sözleşme, bir hukuki başvuru, sonradan birinin kimin imzaladığını ya da belgenin değiştirilip değiştirilmediğini tartışabileceği herhangi bir şey.

Yasal ağırlık üzerine bir not

Farklı ülkelerin, kademeleri tanımlayan imza yasaları vardır (örneğin AB’nin eIDAS’ı); temel bir elektronik imzadan, sertifikalı bir sağlayıcı ve resmî bir kimlik denetimiyle desteklenen “nitelikli” bir imzaya kadar. En üst kademeler genellikle akredite bir otoriteden gelen nitelikli bir sertifika gerektirir; bu da kendi başına bir süreçtir. Pratik çıkarım: imzayı duruma uydurun. Çoğu şey sade bir elektronik imzaya ihtiyaç duyar. Yüksek riskli birkaç belge, kriptografik, sertifika destekli türe ve bazen resmî olarak nitelikli bir türe ihtiyaç duyar. En ağır seçeneğin her zaman gerekli olduğunu varsaymayın ve en hafif olanın her zaman yeterli olduğunu da varsaymayın.

Tarayıcınızda bir PDF’e imza ekleme

Günlük durum için, yani belgenin kendisine niyetli bir elektronik imza için, reader.me’nin cihazınızda çalışan bir imza aracı var:

1. İmza aracını açın ve PDF’inizi bırakın.
2. İmzanızı oluşturun. Çizin ya da bir imza görüntüsü yerleştirin.
3. Sayfada ait olduğu yere konumlandırın.
4. İmzalanmış PDF’i indirin. Doğrudan makinenize kaydedilir.

Her şey tarayıcınızda olur. Belge imzalanmak için yüklenmez; bu önemlidir, çünkü imzaladığınız şeyler, yani sözleşmeler, anlaşmalar, formlar, tam olarak başka birinin sunucusunda durmasını en az isteyeceğiniz belgelerdir.

Neden yerel imzalamak doğru varsayılan seçenektir

İşte birçok çevrimiçi imzalama hizmetinin ironisi: bir anlaşmayı korumayı amaçlayan bir imza eklemek için önce tüm anlaşmayı onların sunucularına yüklersiniz. Bir belgenin yaşamındaki en hassas an, yani bağlayıcı hâle geldiği nokta, bir üçüncü tarafa teslim edilir.

reader.me tarayıcıda imzalar. PDF makinenizdeki belleğe okunur, imzanız tam orada eklenir ve imzalanmış dosya size geri kaydedilir. Hiçbir şey yüklenmez. Bunu kontrol edebilirsiniz: geliştirici araçlarını açın (F12), imzalarken Ağ (Network) sekmesini izleyin ve hiçbir trafik görmeyeceksiniz. Ya da bağlantınız kapalıyken bir belgeyi çevrimdışı imzalayın ve yine de çalıştığını görün.

Yani “hangisine ihtiyacınız var?” sorusunun kısa cevabı: çoğu şey için yerel olarak eklenen net bir elektronik imza tam olarak doğrudur. Yüksek riskli, kimliğin kritik olduğu durumlar için sertifika tabanlı bir dijital imzayı araştırın. Her iki durumda da, belgenin yalnızca imzalanmak için makinenizden ayrılması için iyi bir neden yoktur. İmzanızı tarayıcıda ekleyin ve onu ait olduğu yerde tutun.