PKCS#10 Certification Request Standard
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve İşlevi
PKCS#10 (Certification Request Standard), bir kullanıcının veya kuruluşun Sertifika Otoritesine (CA / ESHS) dijital sertifika başvurusunda bulunurken gönderdiği Sertifika İmza Talebi (CSR - Certificate Signing Request) formatını belirleyen temel PKI standardıdır. IETF tarafından RFC 2986 olarak yayımlanmıştır.
PKCS#10 mesajı; başvuru sahibinin açık anahtarını (public key), kimlik ve unvan bilgilerini (Subject DN) ve talep edilen sertifika özelliklerini içerir. En kritik güvenlik özelliği, bu paketin başvuru sahibinin kendi özel anahtarıyla (private key) imzalanmış olmasıdır; bu mekanizma Açık Anahtar Sahiplik Kanıtı (Proof of Possession - PoP) sağlar.
CSR Mesajının Anatomisi (ASN.1)
Bir PKCS#10 sertifika talebi üç ana bileşenden oluşur:
CertificationRequest ::= SEQUENCE {
certificationRequestInfo CertificationRequestInfo,
signatureAlgorithm AlgorithmIdentifier,
signature BIT STRING }- CertificationRequestInfo:
- Version: Standart sürüm numarası (v1).
- Subject: Sertifika sahibinin X.500 ayırt edici adı (DN):
CN(Ad Soyad / Alan Adı),O(Şirket Unvanı),C(Ülke Kodu - TR),serialNumber(TCKN veya VKN). - SubjectPKInfo: Sertifikaya yerleştirilecek Açık Anahtar ve algoritma kimliği.
- Attributes: Sertifika uzantı talepleri (örn. Subject Alternative Name - SAN, Key Usage, Extended Key Usage).
- signatureAlgorithm: Başvuru sahibinin talebi imzalarken kullandığı algoritma (örn.
sha256WithRSAEncryption). - signature: CertificationRequestInfo verisinin özel anahtarla imzalanmış dijital imza değeri.
| Aşama | Gerçekleştirilen İşlem | Kritik Güvenlik Unsuru |
|---|---|---|
| 1. Anahtar Çifti Üretimi | Kullanıcı tarafında veya HSM içinde Özel ve Açık Anahtar üretilir. | Özel anahtar asla donanım dışına çıkmaz veya ESHS'ye iletilmez. |
| 2. CSR Oluşturma | Açık anahtar ve kimlik bilgileri PKCS#10 formatında paketlenir ve imzalanır. | Proof of Possession: Sahte açık anahtarla başkası adına sertifika talep edilemez. |
| 3. ESHS Doğrulaması | ESHS CSR imzasını açık anahtarla doğrular ve resmi kimlik belgelerini kontrol eder. | 5070 Sayılı Kanun gereği kimlik teyidi zorunludur. |
| 4. Sertifika Üretimi | ESHS kendi Kök/Alt-Kök anahtarıyla imzalayarak X.509 sertifikasını yayımlar. | Sertifika kullanıcının akıllı kartına veya HSM'sine yüklenir. |
E-İmza, Mali Mühür ve SSL Başvurularında Uygulama
- Kamu SM Mali Mühür Başvuruları: Tüzel kişilerin Mali Mühür üretim sürecinde arka planda PKCS#10 formatında talep oluşturularak TÜBİTAK sertifikasyon merkezine aktarılır.
- Özel Entegratör Sunucu Sertifikaları: GİB ile güvenli web servis iletişimi kuracak entegratör sunucuları için OpenSSL ile 2048/4096-bit CSR üretilerek lisanslı sertifika makamlarına sunulur.
- Açık Metin PEM Çıktısı: Bir CSR dosyası
-----BEGIN CERTIFICATE REQUEST-----ve-----END CERTIFICATE REQUEST-----etiketleri arasında Base64 formatında kodlanır.