X.509 v3 Key Usage Extension

Tanımı ve Standart Fonksiyonu

X.509 v3 Key Usage Extension (OID: 2.5.29.15), bir dijital sertifikanın içerisinde yer alan açık anahtarın (ve dolayısıyla bu anahtara karşılık gelen gizli özel anahtarın) hangi kriptografik işlemler için kullanılabileceğini bit düzeyinde sınırlandıran temel RFC 5280 uzantısıdır.

Kriptografi kuralları gereği bir anahtarın birden fazla farklı amaçla kullanılması (örneğin hem belge imzalama hem veri şifreleme) güvenlik zafiyetlerine yol açabilir. Key Usage uzantısı, bir sertifikanın amaç dışı kullanılmasını engelleyerek hukuki inkar edilemezlik ve şifreleme güvenliğini sağlar.

Key Usage Bit Alanları ve Anlamları

Key Usage uzantısı 9 farklı bit bayrağından (flags) oluşur ve ASN.1 sözdiziminde tanımlanır:

digitalSignature (Bit 0): Veri kimlik doğrulaması ve bütünlük denetimi için dijital imza oluşturma (örn. yazılım imzalama veya SSL oturum doğrulama).
nonRepudiation / contentCommitment (Bit 1): İnkar Edilemezlik. İmza sahibinin belgeyi imzaladığını daha sonra inkar etmesini hukuken imkansız kılan en kritik bayraktır. 5070 sayılı Kanun kapsamındaki Nitelikli Elektronik İmzalarda zorunludur.
keyEncipherment (Bit 2): Başka bir simetrik şifreleme anahtarını (örn. oturum anahtarı) şifrelemek ve güvenle taşımak için kullanılır (RSA anahtar değişimi).
dataEncipherment (Bit 3): Doğrudan kullanıcı verilerini (dosya, e-posta içeriği) açık anahtarla şifrelemek için kullanılır.
keyAgreement (Bit 4): Diffie-Hellman protokolü ile ortak gizli anahtar anlaşması yapmak için kullanılır.
keyCertSign (Bit 5): Başka sertifikaları imzalamak için kullanılır (Yalnızca CA sertifikalarında bulunabilir).
cRLSign (Bit 6): Sertifika İptal Listelerini (CRL) imzalamak için kullanılır.
encipherOnly (Bit 7): Yalnızca keyAgreement ile birlikte veri şifreleme amacıyla kullanılır.
decipherOnly (Bit 8): Yalnızca keyAgreement ile birlikte veri deşifreleme amacıyla kullanılır.

Sertifika Türü	Zorunlu Key Usage Bitleri	Hukuki & Teknik Anlamı
Nitelikli Elektronik İmza (NES)	`nonRepudiation` (veya `digitalSignature`)	Islak imza yerine geçer; sözleşme ve resmi dilekçelerde inkar edilemezlik sağlar.
TÜBİTAK Mali Mühür Sertifikası	`digitalSignature, nonRepudiation`	Tüzel kişilik adına e-Fatura, e-Defter ve e-İrsaliye XML paketlerini mühürler.
Web Sunucusu SSL/TLS Sertifikası	`digitalSignature, keyEncipherment`	HTTPS trafiğini şifreler ve sunucu kimliğini doğrular.
Kök / Ara Sertifika Otoritesi (CA)	`keyCertSign, cRLSign`	Alt sertifikaları ve iptal listelerini (CRL) imzalar.

Türkiye Mevzuatı ve Güvenlik Denetimi

5070 Sayılı Elektronik İmza Kanunu ve BTK Elektronik İmza Tebliği uyarınca, bir Nitelikli Elektronik Sertifika üzerinde keyEncipherment bayrağının bulunması kesinlikle yasaktır veya ayrı bir şifreleme sertifikası olarak düzenlenmelidir. Bu kural; adli delil niteliğindeki imza anahtarının veri şifreleme amacıyla kullanılarak anahtar kurtarma (key recovery) süreçlerine maruz kalmasını ve imza gizliliğinin zedelenmesini engeller.