X.509 v3 Subject Alternative Name (SAN)
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Önemi
X.509 v3 Subject Alternative Name (SAN) uzantısı (OID: 2.5.29.17), bir dijital sertifikanın doğruladığı kimlik bilgilerini sertifikanın geleneksel Subject DN (Distinguished Name) alanının ötesine taşıyarak; birden fazla alan adı (DNS), IP adresi, e-posta adresi (RFC 822 Name), Kullanıcı Temel Adı (User Principal Name - UPN) veya T.C. Kimlik Numarası gibi zengin kimlik tanımlayıcılarını bağlayan uzantıdır.
Geçmişte kullanılan Common Name (CN) alanının tek bir değer alabilmesi ve modern güvenlik standartlarını karşılayamaması nedeniyle, IETF RFC 5280 ve CA/Browser Forum kuralları gereğince hem SSL/TLS sertifikalarında hem de kurumsal dijital kimliklerde SAN uzantısı zorunlu birincil kimlik alanı haline gelmiştir.
Desteklenen Kimlik Türleri (GeneralName)
ASN.1 standardında SAN uzantısı çok çeşitli veri tiplerini aynı anda barındırabilir:
- dNSName: Web siteleri için alan adları (örn.
etamga.com,*.etamga.com,api.eimzabilgi.site). Tek bir SSL sertifikasıyla yüzlerce farklı alan adını (Multi-Domain / SAN SSL) korumayı mümkün kılar. - rfc822Name: E-posta adresi (örn.
[email protected]veya KEP adresi). S/MIME ve KEP posta kutusu doğrulamalarında kullanılır. - uniformResourceIdentifier (URI): Kimlik doğrulama servisinin web adresi veya kimlik sağlayıcı uç noktası.
- iPAddress: Doğrudan IP adresi üzerinden iletişim kuran sunucular için IPv4 veya IPv6 adresleri.
- otherName / User Principal Name (UPN): Microsoft Active Directory ortamında kullanıcı giriş adı (örn.
[email protected]). E-İmza ile Windows oturumu açarken işletim sistemi kullanıcının kimliğini buradan çözer. - DirectoryName / TCKN: Türkiye e-İmza profilinde vatandaşın TCKN bilgisi veya tüzel kişinin VKN bilgisi bu alanda özel OID'ler ile güvenle kodlanır.
| SAN Veri Tipi | Örnek Değer | Türkiye E-Dönüşüm Uygulaması |
|---|---|---|
otherName (UPN) |
[email protected] |
UYAP ve kamu kurumlarında e-imza token takılarak işletim sistemi ve etki alanı oturumu açılması. |
rfc822Name |
[email protected] |
Kayıtlı Elektronik Posta (KEP) iletilerinde gönderici posta kutusunun sertifikayla tam eşleşmesi. |
dNSName |
ebelge.gib.gov.tr |
GİB özel entegratör web servis uç noktalarının tarayıcılar tarafından güvenli doğrulanması. |
Güvenlik Etkisi ve Common Name Amortismanı
Modern web tarayıcıları (Google Chrome, Mozilla Firefox, Microsoft Edge), bir SSL sertifikasında Subject DN (CN) alanında doğru alan adı yazsa dahi, eğer bu alan adı SAN dNSName uzantısında açıkça listelenmemişse bağlantıyı güvensiz kabul ederek NET::ERR_CERT_COMMON_NAME_INVALID hatası verir. Bu nedenle SAN uzantısı modern açık anahtar mimarisinin vazgeçilmez temel bileşenidir.