PKI (Public Key Infrastructure) nedir?

PKI (Public Key Infrastructure) açık anahtar altyapısı, veri/bilgi iletişiminde açık anahtarlı kriptografinin yaygın ve güvenli olarak kullanılabilmesini sağlayan ve birbirleriyle eşgüdüm içinde çalışan anahtar üretimi, anahtar yönetimi, onay kurumu, sayısal noterlik, zaman damgası gibi hizmetlerin tümünü kapsamaktadır.
Açık Anahtar Altyapısı modellerine göre; tek anahtarlı simetrik şifreleme sistemlerinde, veriyi şifrelemek icin kullanılan anahtar ile şifrelenmiş veriyi okuyabilmek için aynı anahtar kullanılmak zorundadır. Karşılıklı olarak şifreli haberleşebilmek için her iki taraf simetrik şiflereleri birbirleriyle paylaşmak zorundadırlar.
Açık anahtarlı şifreleme sistemlerinde bu durum farklıdır. Bu sistemde açık anahtar ve özel anahtar bulunmaktadır. Bu anahtarlar tek yönlü çalışmakta ve birbirlerini tamamlamaktadırlar. Açık anahtar veriyi şifrelemek özel anahtar ise açık anahtar tarafından şifrelenmiş veriyi deşifre etmek rollerini üstlenmişlerdir.
Özel anahtarlar sadece ait oldukları kişide bulunurlar. Fakat açık anahtarlar public durumdadırlar ve dağıtımları açık olarak yapılır. PKI; gizlilik, bütünlük, ve kimlik kontrolü fonksiyonlarını kullanıcıların dijital sertifika kullanması yolu ile sağlar. Sertifika dijital bir kimlik olduğu gibi aynı zamanda sahibine ait bilgiler ile gerekli algoritma anahtarlarını üzerinde bulundurur.
pki
Sertifikalar kişiye özeldirler. Güvenli bir şekilde ve güvenli ortamlarda muhafaza edilmeleri gerekmektedir. Şayet sertifikalar sabit disk gibi güvensiz ortamlarda muhafaza edilirse, kolayca değiştirilebilirler ve başka kişiler tarafından kötü niyetli olarak kullanılabilirler.
Bu aslında PKI yapısının bir güvenlik açığıdır. Bu açık ancak ve depolama aracı olarak akıllı kartların kullanımıyla ortadan kaldırılır. Akıllı kartların kullanımı ve taşınması yapısı nedeniyle oldukça kolaydır. Akıllı kartlar bir kredi kartına benzerler(Günümüzde kredi kartları akıllı kartlar olarak dağıtılmaktadır).
Akıllı kartlar sahip oldukları güvenlik mekanizmaları sayesinde fiziksel, elektriksel ve kimyasal (kart içindeki bilgiyi çalma amaçlı yapılan tüm saldırılar) etkilere karşı kendilerini kilitleyebilirler. Kart üzerine gizli anahtarlar yüklendiğinde kesinlikle bu bilgiler kartan okunamazlar ve kullanımları bir şifre ile korunur (PIN kodu).
PKI üzerinde çalışan elektronik imza ile, internet üzerinde yapılan tüm elektronik işlemlerin (e-mail gönderimi/alımı, B2C, elektronik bankacılık uygulamaları, e-devlet platformları) ve gönderilen her türlü bilginin iletimi esnasında, bilgiyi gönderen kişinin kendisi olduğunun, bilgiyi gönderen kişinin gönderdiği bilginin içeriğini bildiğinin, gönderilen bilginin taşıma esnasında değiştirilmediginin, bilgiyi gönderen kişinin bilgiyi gönderdiğini inkar edemeyeceğinin garantisi ve güvenliği sağlanır.
Elektronik imza kısaca kişiye özgü elektronik işarettir. Elektronik imza kuruma veya kişilere özgü olabilir, imzaya sahip olanın diğer bir adıyla pasaport’u olarak da bilinir. Elektronik imzalar, güvenilir olarak kabul görmüş, sertifika otoritesi denen kurumlar tarafından dağıtılır ve takip edilir. Sertifika Otoriteleri, tüm ülkelerde kimlik üreten makamlar konumundadır.
Türkiyede de elektronik imza yasasının devreye alınması, bilgisayar ve internetin sosyal ve ekonomik yaşamın her alanına girmesi nedeniyle gündeme gelmiş ve elektronik ticarete ilişkin diğer kanuni düzenlemelerin de önünü açmasını öngördüğü için “Elektronik İmzanın Düzenlenmesi Hakkındaki Kanun” kabul edilmiştir. Özellikle birçok finans kuruluşu dijital imza ve PKI ile ilgili çalışmalara başlamış ve kullanıma sokulması hızlandırılmıştır.