X.509 v3 Name Constraints Extension
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Güvenlik İşlevi
X.509 v3 Name Constraints Extension, IETF RFC 5280 spesifikasyonunun 4.2.1.10 numaralı bölümünde düzenlenen, bir Ara Sertifika Otoritesinin (Subordinate / Intermediate CA) yalnızca belirli alan adları, e-posta adresleri veya IP aralıkları için sertifika üretebilmesini kurala bağlayan en güçlü kısıtlama mekanizmasıdır.
PKI ekosisteminde ara sertifika makamlarının yetki alanını sınırlandırarak yetkisiz sertifika (rogue certificate) üretimini ve ortadaki adam (Man-in-the-Middle) saldırılarını engeller. Bu uzantı kural olarak her zaman critical (zorunlu) olarak işaretlenir.
ASN.1 Sözdizimi ve Filtreleme Modeli
Name Constraints uzantısı ASN.1 sözdiziminde şu şekilde ifade edilir (OID: 2.5.29.30):
NameConstraints ::= SEQUENCE {
permittedSubtrees [0] GeneralSubtrees OPTIONAL,
excludedSubtrees [1] GeneralSubtrees OPTIONAL
}
GeneralSubtrees ::= SEQUENCE SIZE (1..MAX) OF GeneralSubtree- permittedSubtrees: Bu ara makamın sertifika üretmesine izin verilen isim alanlarıdır. İzin listesi tanımlanmışsa, bu listenin dışındaki herhangi bir alan adı için üretilen sertifika zincir doğrulamasında otomatik olarak reddedilir.
- excludedSubtrees: Kesinlikle yasaklanan isim alanlarıdır. Excluded listesi permitted listesinden her zaman önceliklidir; izin verilen bir alanın alt dalı dahi olsa excluded altında ise sertifika geçersiz kılınır.
| Ad Türü (GeneralName) | Örnek Filtre | Geçerlilik Kapsamı |
|---|---|---|
| dNSName | .gov.tr |
Yalnızca Türkiye Cumhuriyeti resmi devlet kurumlarının alan adları. |
| rfc822Name | @hs01.kep.tr |
Yalnızca yetkili KEP sağlayıcısı uzantılı resmi KEP e-posta adresleri. |
| directoryName | C=TR, O=Gelir İdaresi |
X.500 DN hiyerarşisinde yalnızca tanımlı tüzel organizasyon birimi. |
Pratik Uygulama ve KEP Ekosistemi
BTK tarafından Kayıtlı Elektronik Posta Hizmet Sağlayıcılarına (KEPHS) tahsis edilen ara sertifikalarda Name Constraints uzantısı kullanılarak, sağlayıcının yalnızca kendisine ait @hsXX.kep.tr veya hsXX.kep.tr adres alanı için imzalama yapabilmesi temin edilir.