X.509 v3 Extended Key Usage (EKU)
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Gelişmiş Kullanım Alanı
X.509 v3 Extended Key Usage (EKU), RFC 5280 standardında tanımlanan (OID: 2.5.29.37) ve temel Key Usage uzantısını tamamlayan, sertifikanın açık anahtarının geçerli olduğu özel uygulama protokollerini ve senaryolarını Nesne Tanımlayıcıları (Object Identifier - OID) listesi ile belirten uzantıdır.
Temel Key Usage genel kriptografik işlevi (örn. dijital imza) kısıtlarken, Extended Key Usage bu imzanın nerede kullanılabileceğini (örn. kod imzalama, akıllı kartla Windows oturumu açma, e-posta koruma veya web sunucusu doğrulama) hassas şekilde tanımlar.
En Yaygın EKU Nesne Tanımlayıcıları (OIDs)
Standardize edilmiş uluslararası EKU OID değerleri şunlardır:
- Server Authentication (
1.3.6.1.5.5.7.3.1): TLS/SSL web sunucusu kimlik doğrulaması (HTTPS web siteleri için zorunludur). - Client Authentication (
1.3.6.1.5.5.7.3.2): İstemci kimlik doğrulaması; web servislerine veya VPN ağlarına e-imza ile güvenli giriş. - Code Signing (
1.3.6.1.5.5.7.3.3): Yazılım ve çalıştırılabilir kod (EXE, DLL, JAR) imzalama; işletim sisteminde 'Güvenilir Yayıncı' uyarısı sağlar. - Email Protection / S/MIME (
1.3.6.1.5.5.7.3.4): E-posta mesajlarının imzalanması ve şifrelenmesi (KEP ve kurumsal e-posta sistemleri). - Time Stamping (
1.3.6.1.5.5.7.3.8): RFC 3161 Zaman Damgası sunucuları tarafından hash verilerini mühürlemek için kullanılır. - OCSP Signing (
1.3.6.1.5.5.7.3.9): Çevrimiçi Sertifika Durum Protokolü (OCSP) yanıtlarını imzalamak için kullanılır. - Smartcard Logon (
1.3.6.1.4.1.311.20.2.2): Microsoft Active Directory ortamında akıllı kartla (e-İmza token) Windows oturumu açma.
| Uygulama Alanı | Gerekli EKU Değerleri | Mevzuat & Entegrasyon Etkisi |
|---|---|---|
| UYAP & DYS Kamu Girişi | clientAuth, smartcardLogon |
Akıllı kart takıldığında tarayıcının veya istemcinin sertifikayı istemci kimliği olarak tanımasını sağlar. |
| GİB Zaman Damgası İstemcisi | timeStamping |
TÜBİTAK Kamu SM zaman damgası sertifikalarında zorunludur; e-Defter paketlerini yasal olarak mühürler. |
| E-İmza İle PDF/CAdES İmzalama | emailProtection, anyExtendedKeyUsage |
Adobe Acrobat ve e-İmza kütüphanelerinin sertifikayı belge onaylayıcı olarak kabul etmesini sağlar. |
Kritiklik ve Uygulama Davranışı
Eğer EKU uzantısı critical olarak işaretlenmişse, sertifikayı doğrulayan istemci yazılım yalnızca listede belirtilen OID amaçları için sertifikayı kullanabilir; listede olmayan bir işlemde sertifika doğrudan reddedilir. EKU uzantısı yoksa sertifika teknik olarak kısıtlanmamış sayılır, ancak güncel güvenlik politikaları (özellikle tarayıcılar ve işletim sistemleri) EKU içermeyen sertifikaları şüpheli kabul etmektedir.