X.509 v3 Basic Constraints Extension

Tanımı ve Standardizasyon Temeli

X.509 v3 Basic Constraints Extension, ITU-T X.509 standardı ve IETF RFC 5280 spesifikasyonu kapsamında tanımlanan, bir dijital sertifikanın bir Sertifika Otoritesi (Certificate Authority - CA) mi yoksa bir Son Kullanıcı (End-Entity / Leaf) sertifikası mı olduğunu kesin olarak belirten en kritik sertifika uzantısıdır.

Public Key Infrastructure (PKI) hiyerarşisinde güven zincirinin (Chain of Trust) bütünlüğünü korumak adına bu uzantı neredeyse her zaman critical (zorunlu/kritik) olarak işaretlenir. Bir yazılım veya işletim sistemi sertifika doğrulama motoru bu uzantıyı tanıyamazsa veya kural ihlali tespit ederse sertifika zincirini geçersiz kabul eder.

ASN.1 Yapısı ve Parametreleri

Basic Constraints uzantısı ASN.1 sözdiziminde şu şekilde tanımlanır (OID: 2.5.29.19):

BasicConstraints ::= SEQUENCE {
    cA                  BOOLEAN DEFAULT FALSE,
    pathLenConstraint   INTEGER (0..MAX) OPTIONAL
}

cA (BOOLEAN): Sertifika sahibinin başka sertifikaları imzalama yetkisine sahip bir Kök (Root) veya Ara (Intermediate) Sertifika Otoritesi olup olmadığını belirtir. Eğer TRUE ise sertifika yeni sertifikalar türetebilir. Eğer FALSE (veya uzantı yoksa) bu bir son kullanıcı (e-İmza, Mali Mühür veya web sitesi SSL) sertifikasıdır; kesinlikle alt sertifika imzalayamaz.
pathLenConstraint (INTEGER): Yalnızca cA = TRUE olduğunda anlam ifade eder. Bu CA sertifikasının altında en fazla kaç kademe ara CA sertifikası yer alabileceğini sınırlar. Örneğin pathLenConstraint = 0 ise, bu CA doğrudan yalnızca son kullanıcı sertifikaları imzalayabilir; alt bir ara CA yetkilendiremez.

Sertifika Türü	cA Değeri	pathLen	Güvenlik Fonksiyonu
Kök CA (Root CA)	`TRUE`	1 veya Belirtilmemiş	Tüm hiyerarşinin güven çıpasıdır; Ara CA'leri imzalar.
Ara CA (Intermediate CA)	`TRUE`	0	Yalnızca son kullanıcı e-imza veya SSL sertifikalarını imzalar.
Son Kullanıcı (Nitelikli E-İmza)	`FALSE`	Yok	Başka bir sertifikayı imzalayamaz; sahte CA oluşturulmasını önler.

Türkiye E-Dönüşüm ve 5070 Sayılı Kanun Uygulaması

5070 Sayılı Elektronik İmza Kanunu kapsamında BTK tarafından denetlenen ESHS'lerin (Kamu SM, TÜRKTRUST, E-Tuğra vb.) ürettiği vatandaş ve şirket sertifikalarında Basic Constraints uzantısı hayati rol oynar:

Sahte Otorite Saldırılarının Önlenmesi: Kötü niyetli bir kullanıcı elindeki Nitelikli Elektronik Sertifika (NES) özel anahtarıyla sahte bir kamu kurumu adına imza atamaz veya kendi adına alt sertifikalar üretemez. Doğrulama kütüphaneleri (Akis, Adobe Acrobat, GİB İstemci) cA = FALSE değerini gördüğü anda bu tür sahte zincirleri anında reddeder.
Kritiklik Bayrağı: BTK teknik kriterleri gereğince NES sertifikalarında Basic Constraints uzantısı zorunlu olarak critical olarak kodlanmalıdır.