PKCS#5 Password-Based Cryptography
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Gelişim Süreci
PKCS#5 (Password-Based Cryptography Standard), parola veya parola cümlesi (passphrase) gibi kullanıcı tarafından akılda tutulabilen düşük entropili metinlerden kriptografik olarak güçlü simetrik şifreleme anahtarları türetmek için tasarlanmış endüstri standardıdır. İlk olarak RSA Laboratories tarafından yayımlanmış, daha sonra IETF RFC 2898 ve RFC 8018 (PKCS#5 v2.1) belgeleriyle uluslararası standart haline getirilmiştir.
Bilgisayarların işlem gücünün artmasıyla birlikte basit hash alma (MD5, SHA-1 vb.) yöntemleri kaba kuvvet (brute-force) ve gökkuşağı tabloları (rainbow table) karşısında yetersiz kalmıştır. PKCS#5, anahtar türetme sürecine Salt (Tuz) ve İterasyon Sayacı (Iteration Count) kavramlarını dahil ederek saldırı maliyetini astronomik seviyelere çıkarır.
PBKDF2 (Password-Based Key Derivation Function 2) Mimarisi
PKCS#5 v2.0 ve v2.1'in temel yapıtaşı olan PBKDF2, sahte anahtar üretimini engellemek için sözde rastgele bir fonksiyonu (genellikle HMAC-SHA256) binlerce kez ardışık olarak çalıştırır:
DK = PBKDF2(PRF, Password, Salt, c, dkLen)- PRF (Pseudorandom Function): Temel HMAC algoritması (örn. HMAC-SHA256 veya HMAC-SHA512).
- Password: Kullanıcı tarafından girilen gizli parola karakter dizisi.
- Salt: Her kullanıcı ve işlem için kriptografik olarak üretilen en az 128-bitlik tekil rastgele veri. Gökkuşağı tablolarıyla önceden hesaplanmış saldırıları engeller.
- c (Iteration Count): Algoritmanın kaç defa döneceğini belirten çalışma katsayısı. Saldırganın her parola denemesinde yapması gereken hesaplama yükünü belirler.
- dkLen: Hedef şifreleme algoritması (örn. AES-256) için türetilecek çıktının bayt uzunluğu (32 bayt).
| Bileşen / Standart | Eski Uygulama (PKCS#5 v1.5) | Modern Öneri (RFC 8018 / 2026 Standartları) |
|---|---|---|
| Özet Fonksiyonu | MD5 veya SHA-1 (Güvensiz) | HMAC-SHA256 veya HMAC-SHA512 |
| Salt Boyutu | 64-bit (8 bayt) | En az 128-bit (16 bayt) CSPRNG |
| İterasyon Sayısı (c) | 1.000 döngü | En az 600.000 döngü (OWASP & NIST güncel rehberleri) |
| Simetrik Şifreleme | DES-CBC / RC2 | AES-GCM veya AES-256-CBC |
Türkiye E-İmza ve E-Dönüşüm Altyapısındaki Yeri
5070 Sayılı Elektronik İmza Kanunu ve BTK teknik kriterlerine göre PKCS#5 standartları şu alanlarda kritik rol oynar:
- Yazılımsal Sertifika Depoları (.pfx / .p12): Mali mühür veya e-imza özel anahtarlarını barındıran PKCS#12 dosyalarının kullanıcı şifresiyle şifrelenmesinde PKCS#5 PBKDF2 kullanılır.
- Akıllı Kart ve Token PIN Doğrulaması: AKİS veya SafeNet akıllı kart sürücülerinde kullanıcı PIN kodunun oturum anahtarına dönüştürülmesinde parola tabanlı kriptografik yöntemler devreye girer.
- Entegratör Veritabanı Parola Güvenliği: GİB özel entegratör portallarında mükellef hesap parolalarının ve API anahtarlarının veritabanında tek yönlü güvenli saklanmasını temin eder.