ESYAE-imza Kütüphaneleri

Bu sayfa salt okunur. Kaynağı görebilirsiniz ama değiştiremezsiniz. Bunun yanlış olduğunu düşünüyorsanız yöneticiye danışın.

<h1>Sertifika Doğrulama Kütüphanesi Bileşenleri</h1>
<div class="level1">

<p>
Esya Sertifika Doğrulama API'si <a href="/esya-api/doku.php?id=esya:sertifika:sertifika-dogrulama-araclar%C4%B1" class="wikilink1" title="esya:sertifika:sertifika-dogrulama-aracları">burada anlatılan</a>  zincir oluşturma ve  zincir doğrulama algoritmalarını kullanır. Özetle bir sertifika ya da SİL için doğrulama isteğinde bulunulduğunda , önce güvenilir bir kök sertifikada sonlanan bir sertifika zinciri oluşturulur ve bu zincir doğrulanmaya çalışılır. Geçerli bir zincir bulununcaya kadar bu işlem tekrarlanır. 
</p>

<p>
<a href="/esya-api/lib/exe/detail.php?id=esya%3Asertifika%3Adogrulama-kutuphane&media=esya:sertifika:15.png" class="media" title="esya:sertifika:15.png"><img src="/esya-api/lib/exe/fetch.php?media=esya:sertifika:15.png" class="mediacenter" title="Şekil 15 Esya Sertifika Doğrulama API - Sertifika İşleme Aktivite Diyagramı" alt="Şekil 15 Esya Sertifika Doğrulama API - Sertifika İşleme Aktivite Diyagramı" /></a>
</p>

<p>
Esya Sertifika Doğrulama API'si zincir doğrulama sırasında gerçekleştirilen yapısal doğrulama ve zincir ilişkisinin doğrulanması ile ilgili kontrolleri <a href="/esya-api/doku.php?id=esya:sertifika:sertifika-dogrulama-araclar%C4%B1" class="wikilink1" title="esya:sertifika:sertifika-dogrulama-aracları">buradaki</a>  diyagramda yer alan Sertifika İşleme adımında gerçekleştirir. Sertifika İşleme adımının detayları yukarıdaki şekilde görüntülenmektedir.
</p>

<p>
Bu aktivite gruplara ayrılmış bir takım kontrol işlemlerinden oluşur ve bu kontrol işlemleri bir sertifika doğrulama politika dosyasında çalışma zamanında yapılandırılabilir. Bu politika dosyasının yapısı <a href="/esya-api/doku.php?id=esya:sertifika:dogrulama-politikas%C4%B1" class="wikilink1" title="esya:sertifika:dogrulama-politikası">bu bölümde</a> yer almaktadır. Bu kontrol işlemleri atomik olarak ayrı ayrı tanımlanmış ve her bir atomik kontrol için bir kontrolcü (Checker) sınıf tanımlanmıştır. Kontrolcü sınıflarının kontrol işlemlerini yaparken ihtiyaç duyduğu sertifika , SİL, OCSP cevabı gibi kaynakları çeşitli yollarla ve çeşitli yerlerden bulmak için bulucu (Finder) sınıfları tanımlanmıştır. Bulucuların bulduğu kaynakların doğru kaynaklar olup olmadığının test edilmesi gerekmektedir ve bu amaçla eşleştirici (Matcher) sınıfları oluşturulmuştur. Esya Sertifika Doğrulama Kütüphanesi hangi kontrollerin yapılacağını yani hangi kontrolcü sınıflarının kullanılacağını, ihtiyaç duyulan kaynaklar için nerelere bakılacağını yani hangi bulucu sınıflarının kullanılacağını ve bulunan kaynakların nasıl eşleştirileceğini yani hangi eşleştirici sınıflarının kullanılacağını belirlemek amacıyla çalışma zamanında işlemek üzere doğrulama politikası dosyasını kullanır. Doğrulama işleminin öncesinde bu politika dosyası okunarak gerekli kontrolcü, bulucu, ve eşleştirici alt sınıfları oluşturulur.
</p>

</div>

<h2>Kontrolcüler</h2>
<div class="level2">

<p>
Sertifika ve SİL'lerin yapısal özelliklerinin ve sertifika zincir ilişkisinin standartlara uygunluğunu kontrol eden sınıflardır. Bu sınıfların detayları bu dökümanın kapsamı dışındadır. Bu kontrolcülerin hangilerinin çalışacağı, doğrulama politika dosyası aracılığıyla belirlenir.  Sertifika doğrulama işleminde gerçekleştirilen ve RFC 5280'de tanımlanan kontrolcüler temel olarak şunlardır;
</p>

</div>

<h3>Yapısal Kontroller</h3>
<div class="level3">

<p>
Yapısal kontroller sertifikanın ve SİL'in üzerindeki bilgilerin içerik ve biçimsel olarak geçerliliğinin kontrollerini kapsar. Temel olarak aşağıdaki gibi listelenebilir
</p>
<ul>
<li class="level1"> Seri Numarası Kontrolü : Sertifika üzerindeki seri numarasının pozitif bir tamsayı olduğunun kontrolü.</li>
<li class="level2"> Sertifika Geçerlilik Tarihi Kontrolü :Sertifika üzerindeki geçerlilik tarihlerinin doğrulama zamanını kapsadığının kontrolü.</li>
<li class="level2"> Versiyon Kontrolü : Sertifika üzerindeki versiyon bilgisinin geçerliliğinin kontrolü.</li>
<li class="level2"> Eklenti Kontrolü :Sertifika üzerindeki eklentilerin geçerliliğinin kontrolü.</li>
<li class="level2"> İmza Algoritması Kontrolü :Sertifika üzerinde yazan imza algoritmasının imzalanmış imza algoritması bilgisiyle aynı olması kontrolü.</li>
</ul>

</div>

<h3>Zincir İlişkisi Kontrolleri</h3>
<div class="level3">

<p>
Zincir İlişkisi kontrolleri, sertifika veya SİL ile bu seritifika veya SİL'i yayınlayan yetkili makam sertifikası arasındaki ilişkiyi inceleyen kontrolleri içerir.
</p>
<ul>
<li class="level1"> İsim Kontrolü:Sertifika veya SİL üzerindeki yayıncı(issuer) alanı ile  yayıncı sertifikası üzerindeki özne(subject) alanının aynı olduğunun kontrolü.</li>
<li class="level2"> İmza Kontrolü :Sertifika veya SİL üzerindeki imzanın yayınlayan sertifikasındaki açık anahtar ile kriptografik olarak doğrulanması.</li>
<li class="level2"> Temel Kısıtlar Kontrolü :Yayıncı sertifikası üzerinde Temel Kısıtlar (Basic Constraints) eklentisinin bulunduğu ve bu eklentideki yayıncı işaretçisinin RFC 5280'de belirtildiği şekilde yeraldığı kontrolü.</li>
<li class="level2"> Anahtar Tanımlayıcısı Kontrolü :Sertifika veya SİL üzerindeki yetkili anahtar tanımlayıcısı (Authorithy Key Identifier) eklentisindeki değer ile yayıncı sertifikasındaki anahtar tanımlayıcısı değerinin uyuşması kontrolü.</li>
<li class="level2"> Yol Uzunluğu Kontrolü:Sertifika zincirinin uzunluğunun, yayıncı sertifikasındaki yol uzunluğu eklentisinde yer alan değerden uzun olmaması kontrolü.</li>
<li class="level2"> Anahtar Kullanımı Kontrolü:Yayıncı sertifikasındaki anahtar kullanımı (Key Usage) eklentisinde sertifika imzalama özelliğinin bulunması kontrolü.</li>
</ul>

</div>

<h3>İptal Kontrolleri</h3>
<div class="level3">

<p>
Sertifikanın iptal durumu kontrollerini içerir. 
</p>
<ul>
<li class="level1"> SİL'den İptal Durumu Kontrolü :Sertifikaya ilişkin SİL'den sertifikanın iptal durumunun kontrolü.  </li>
<li class="level2"> OCSP'den İptal Durumu Kontrolü :Sertifikaya ilişkin OCSP cevabından sertifikanın iptal durumunun kontrolü.</li>
</ul>

</div>

<h3>İsim Kontrolleri</h3>
<div class="level3">

<p>
Sertifika'daki özne bilgisi yayıncı sertifikasında yer alan isim kısıtlamaları eklentisinde tanımlı bir takım kurallara göre değerler alabilir. Bu detaylar RFC 5280'de belirtilmiştir ve isim kontrolleri kapsamında bu kurallara uyulup uyulmadığı kontrol edilmektedir.
</p>

</div>

<h3>Politika Kontrolleri</h3>
<div class="level3">

<p>
Sertifika'daki politika bilgileri eklentisinde yer alan politika bilgileri, yayıncı sertifikasındaki isim kısıtlamaları eklentisinde tanımlı bir takım kurallara göre değerler alabilir. Bu detaylar RFC 5280'de belirtilmiştir ve politika kontrolleri kapsamında bu kurallara uyulup uyulmadığı kontrol edilmektedir.
Esya  Sertifika Doğrulama API'sinde tanımlı ve politika dosyasında kullanılabilecek tüm kontrolcülerin listesi <a href="/esya-api/doku.php?id=esya:sertifika:dogrulama-politikas%C4%B1" class="wikilink1" title="esya:sertifika:dogrulama-politikası"> Table 1'de</a> yer almaktadır.
</p>

</div>

<h3>Bulucular</h3>
<div class="level3">

<p>
Kontrolcü sınıflar çalışırlarken bir takım dış verilere ihtiyaç duyabilirler. Bunlar SİL bilgisi , OCSP sorgusu ya da SM sertifikası olabilir. Yine zincir oluşturma sırasında SM sertifikalarının çeşitli yerlerden (http adresi, yerel seritifika deposu vb.) bulunması gerekebilir. Genel olarak sertifika doğrulama sırasında dışarıdan bulunması gereken sertifika , SİL, OCSP Cevabı verilerini bulma işlemini bulucu sınıflar gerçekleştirir. Bir sertifika , SİL ya da OCSP cevabı bulunurken politika dosyasında tanımlı Bulucular sırayla çalıştırılır ve aranılan veri bulunduğunda bulma işlemi sonlandırılır. Bu nedenle bulucuların uygun bir sırayla politika dosyasına yerleştirilmiş olması performans açısından oldukça önemlidir. Örneğin yerel depodan sertifika bulucunun uzak kaynaklardan(LDAP,HTTP vb.) sertifika bulculardan önce yerleştirilmesi sertifika arama işlemlerinin sertifika yerel depoda varsa uzak kaynaklara başvurulmadan sonuçlanmasını sağlar ve bu da ciddi performans kazanımları getirir. Sertifika Doğrulama politikası aracılığıyla hangi bulucuların hangi sırayla çalıştırılacakları bilgisi tanımlanmaktadır. 
</p>

<p>
Esya Sertifika Doğrulama Kütüphanesinde tanımlı bulucular şu şekilde gruplanabilir.
</p>

</div>

<h4>Güvenilir Sertifika Bulucular</h4>
<div class="level4">

<p>
Doğrulama kütüphanesinin güvenilir olarak tanıdığı SM sertifikalarını bulan sınıflardır. 
</p>

</div>

<h4>Sertifika Bulucular</h4>
<div class="level4">

<p>
SM sertifikası bulmaktan sorumlu sınıflardır.Bu bulucular sertifikanın üzerinde yer alan Yetkili Erişim Noktası (AIA) eklentisine bakarak SM sertifikası bulan sınıflar olabileceği gibi bir http adresinden, bir LDAP adresinden ya da dosya sistemindeki bir adresten ya da yerel sertifika deposundan sertifika bulan sınıflar olabilir.
</p>

</div>

<h4>SİL Bulucular</h4>
<div class="level4">

<p>
SİL bulmaktan sorumlu sınıflardır. Sertifika üzerinde yazan Sil Dağıtım Noktaları (CDP)  eklentisine bakarak SİL bulan sınıflar olabileceği gibi bir http adresinden, bir LDAP adresinden ya da dosya sistemindeki bir adresten ya da yerel sertifika deposundan SİL bulan sınıflar olabilir. 
</p>

</div>

<h4>OCSP Cevabı Bulucular</h4>
<div class="level4">

<p>
OCSP cevabı bulmaktan sorumlu sınıflardır. Sertifika üzerinde yazan Yetkili Erişim Noktası (AIA) bakarak OCSP cevabı bulan sınıflar olabileceği gibi bir http adresinden, bir LDAP adresinden ya da dosya sistemindeki bir adresten ya da yerel sertifika deposundan OCSP cevabı  bulan sınıflar olabilir.
</p>

<p>
Esya  Sertifika Doğrulama API’sinde tanımlı ve politika dosyasında kullanılabilecek tüm bulucuların listesi <a href="/esya-api/doku.php?id=esya:sertifika:dogrulama-politikas%C4%B1" class="wikilink1" title="esya:sertifika:dogrulama-politikası">Table 3’te</a> yer almaktadır.
</p>

</div>

<h3>Eşleştiriciler</h3>
<div class="level3">

<p>
Bulunan sertifika, SİL ya da OCSP cevabı bilgilerinin gerçekten aranılan veriler olup olmadığını anlamak için gerekli eşleştirmeden sorumlu sınıflardır.Bu eşleştirme kuralları RFC 5280'de yer almaktadır.
Esya Sertifika Doğrulama Kütüphanesinde tanımlı bulucular şu şekilde gruplanabilir.
</p>

</div>

<h4>Sertifika Eşleştiriciler</h4>
<div class="level4">

<p>
Sertifika ile yayıncı sertifikasını eşleştiren sınıflardır. Örneğin RFC 5280'de bir X.509 sertifikası üzerinde yazan issuer alanı ile yayıncı sertifikası üzerinde yer alan subject alanı aynı olmalıdır şeklinde bir ifade yer alır. Esya Sertifika Doğrulama kütüphanesinde bu eşleştirme işini gerçekleştiren eşleştirici (IssuerSubjectMatcher) sınıfı vardır. Eşleştiricilerin eşleştiremediği sertifikalar yayıncı sertifikası olarak sertifika zincirine eklenmezler.
</p>

</div>

<h4>SİL Eşleştiriciler</h4>
<div class="level4">

<p>
Sertifika ile SİL'i  ya da SİL ile SİL yayınlayan sertifikayı eşleştiren sınıflardır. Örneğin RFC 5280'de , dolaylı SİL (indirect crl) kullanılmıyorsa, bir SİL üzerinde yazan issuer alanı ile yayıncı sertifikası üzerinde yer alan subject alanı aynı olmalıdır şeklinde bir ifade yer alır. Bir SİL'in yayıncı sertifikası olan sertifikanın bulunması için bu ifadenin doğruluğu kontrol edilir. Bu kontrol işlemi için bir eşleştirici (CRLIssuerMatcher) tanımlıdır.
</p>

</div>

<h4>OCSP Cevabı Eşleştiriciler</h4>
<div class="level4">

<p>
Sertifika ile OCSP cevabını eşleştiren sınıflardır. Çalışma şekilleri sertifika ve SİL eşleştiriciler gibidir
</p>

</div>

<h4>Delta SİL Eşleştiriciler</h4>
<div class="level4">

<p>
SİL ile Delta-SİL'i eşleştiren sınıflardır. Çalışma şekilleri sertifika ve SİL eşleştiriciler gibidir
</p>

</div>

<h4>Çapraz Sertifika Eşleştiriciler</h4>
<div class="level4">

<p>
SM Sertifikası ile çapraz SM sertifikasını eşleştiren sınıflardır. Çalışma şekilleri sertifika ve SİL eşleştiriciler gibidir.
</p>

<p>
Esya  Sertifika Doğrulama API'sinde tanımlı ve politika dosyasında kullanılabilecek tüm eşleştiricilerin listesi <a href="/esya-api/doku.php?id=esya:sertifika:dogrulama-politikas%C4%B1" class="wikilink1" title="esya:sertifika:dogrulama-politikası">Table 2’de</a> yer almaktadır.
</p>

</div>

<h3>Kaydediciler</h3>
<div class="level3">

<p>
Esya Sertifika Doğrulama API'si doğrulama sırasında bulduğu sertifika ve SİL'leri yerel depoya kaydeder. Bu işlemi kaydediciler (Saver) gerçekleştirir ve yine politika dosyası aracılığıyla hangi kaydedicilerin çalışacağı tanımlanabilir. Örneğin istenildiği kadar kaydedici tanımlanarak doğrulama sırasında bulunan ve doğrulanan bütün sertifikalar istenilen yerlere kaydedilirler.  
</p>

<p>
Esya  Sertifika Doğrulama API'sinde tanımlı ve politika dosyasında kullanılabilecek tüm kaydedicilerin listesi <a href="/esya-api/doku.php?id=esya:sertifika:dogrulama-politikas%C4%B1" class="wikilink1" title="esya:sertifika:dogrulama-politikası">Table 4’te</a> yer almaktadır.
</p>

</div>

<h2>Sertifika Doğrulama Politikası</h2>
<div class="level2">

<p>
Sertifika doğrulama işlemi bir çok kontrol  işleminin arka arkaya yapılmasından oluşan bir süreçtir. Bu kontrol işlemlerinin hangilerinin yapılıp hangilerinin yapılmayacağını ve bu kontroller sırasında kullanılan bir takım parametrelerin çalışma zamanında belirlenebilmesi için XML formatında bir doğrulama politikası dosyası kullanılmaktadır. Bu XML dosyasında yer alan her bir “class” elemanı bir sınıfı temsil eder ve bu sınıflar doğrulamada kullanılacak kontrol, bulma ve eşleştirme sınıflarıdır. Bu dosya, doğrulama işleminin başında okunarak doğrulama politikası nesnesi oluşur ve bütün doğrulama adımları bu politikada belirtilen yapılandırma bilgileri doğrultusunda gerçekleştirilir. Doğrulamada kullanılacak kontrol, bulma ve eşleştirme sınıfları, sertifika politikası kontrolleri ile ilgili ayarlar bu yapılandırma bilgilerinden bazılarıdır.
</p>

<p>
Örnek Sertifika Doğrulama Politikası Dosyası
</p>
<dl class="file">
<dt><a href="/esya-api/doku.php?do=export_code&id=esya:sertifika:dogrulama-kutuphane&codeblock=0" title="Parçacığı indir" class="mediafile mf_">certval-policy</a></dt>
<dd><pre class="code file xml">< !--Dosyayı xml olarak kaydediniz-->
< ?xml version="1.0" encoding="UTF-8"?>
< policy>
    <span class="sc1">&lt;</span>find<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>trustedcertificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.trusted.TrustedCertificateFinderFromECertStore"<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>param name="securitylevel" value="legal,organizational"/<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>/class<span class="sc1">&gt;</span>	
            <span class="sc1">&lt;</span>!--class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.trusted.TrustedCertificateFinderFromFileSystem"<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>param name="dizin" value="path\to\trusted certificates"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/class--<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/trustedcertificate<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>certificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.CertificateFinderFromECertStore"/<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.CertificateFinderFromHTTP"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.CertificateFinderFromLDAP"/<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>/certificate<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>deltacrl/<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>/find<span class="sc1">&gt;</span>  
    <span class="sc1">&lt;</span>match<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>certificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.match.certificate.IssuerSubjectMatcher"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/certificate<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>crl<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.match.crl.CRLIssuerMatcher"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/crl<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>deltacrl<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.match.deltacrl.BaseCRLNumberMatcher"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.match.deltacrl.CRLNumberMatcher"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.match.deltacrl.DeltaCRLIssuerMatcher"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.match.deltacrl.ScopeMatcher"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/deltacrl<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>ocsp<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.match.ocsp.CertIDOCSPResponseMatcher"/<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>/ocsp<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>/match<span class="sc1">&gt;</span>
	<span class="sc1">&lt;</span>save<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>crl<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.save.CertStoreCRLSaver"/<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>/crl<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>!--ocsp<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.save.CertStoreOCSPResponseSaver"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/ocsp<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>certificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.save.CertStoreCertificateSaver"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/certificate--<span class="sc1">&gt;</span>
	<span class="sc1">&lt;</span>/save<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>validate<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>certificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>self<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.SignatureAlgConsistencyChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.PositiveSerialNumberChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.CertificateDateChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.CertificateExtensionChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.VersionChecker"/<span class="sc1">&gt;</span>
				<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.QualifiedCertificateChecker"<span class="sc1">&gt;</span>
					<span class="sc1">&lt;</span>param name="statementoids" value="(0.4.0.1862.1.1 AND 2.16.792.1.61.0.1.5070.1.1)"/<span class="sc1">&gt;</span>
				<span class="sc1">&lt;</span>/class<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/self<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>trustedcertificate<span class="sc1">&gt;</span>
            	<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.SelfSignatureChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.self.CertificateDateChecker"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/trustedcertificate<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>issuer<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.BasicConstraintCAChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.PathLenConstraintChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.KeyIdentifierChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.CertificateKeyUsageChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.CertificateNameChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.issuer.CertificateSignatureChecker"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/issuer<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>revocation<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.revocation.RevocationFromOCSPChecker"<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>param name ="devam" value="false"/<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>find<span class="sc1">&gt;</span>
                        <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.ocsp.OCSPResponseFinderFromAIA"/<span class="sc1">&gt;</span>
                        <span class="sc1">&lt;</span>!--class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.ocsp.OCSPResponseFinderFromECertStore"/--<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>/find<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>/class<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.certificate.revocation.RevocationFromCRLChecker"<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>param name ="cevrimdisicalis" value="false"/<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>param name ="checkallcrls" value="false"/<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>param name ="devam" value="false"/<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>find<span class="sc1">&gt;</span>
			     		<span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.crl.CRLFinderFromECertStore"/<span class="sc1">&gt;</span>
						<span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.crl.CRLFinderFromECertStore"<span class="sc1">&gt;</span>
			     			<span class="sc1">&lt;</span>param name = "getactivecrl" value="true"/<span class="sc1">&gt;</span>
			     		<span class="sc1">&lt;</span>/class<span class="sc1">&gt;</span>
                        <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.crl.CRLFinderFromHTTP"/<span class="sc1">&gt;</span>
                        <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.find.crl.CRLFinderfromLDAP"/<span class="sc1">&gt;</span>
                    <span class="sc1">&lt;</span>/find<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>/class<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>/revocation<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/certificate<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>crl<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>crlself<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.crl.self.CRLDateChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name = "tr.gov.tubitak.uekae.esya.api.certificate.validation.check.crl.self.CRLExtensionChecker"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/crlself<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>crlissuer<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.crl.issuer.CRLSignatureChecker"/<span class="sc1">&gt;</span>
                <span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.crl.issuer.CRLKeyUsageChecker"/<span class="sc1">&gt;</span>
            <span class="sc1">&lt;</span>/crlissuer<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>/crl<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>ocsp<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.ocsp.OCSPResponseDateChecker"/<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.ocsp.ResponseStatusChecker"/<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.ocsp.SigningCertificateChecker"/<span class="sc1">&gt;</span>
			<span class="sc1">&lt;</span>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.check.ocsp.OCSPSignatureChecker"/<span class="sc1">&gt;</span>
		<span class="sc1">&lt;</span>/ocsp<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>/validate<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>parameters<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>UserPolicySet value="2.5.29.32.0"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>InitialExplicitPolicy value="false"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>InitialAnyPolicyInhibit value="false"/<span class="sc1">&gt;</span>
        <span class="sc1">&lt;</span>InitialPolicyMappingInhibit value="false"/<span class="sc1">&gt;</span>
    <span class="sc1">&lt;</span>/parameters<span class="sc1">&gt;</span>
< /policy>

</pre><p> </p>
</dd></dl>




</div>

<h3>Sertifika Doğrulama Politika Dosyasının Güvenliği</h3>
<div class="level3">

<p>
Politika dosyası, sertifika doğrulama sırasında kullanılacak verilerin nasıl bulunacağını (find), doğru  verilerin bulunup bulunmadığının kontrolü için nasıl eşleştirme yapılacağını (match) ve  doğrulama sırasında hangi kontrollerin  yapılacağını (validate) belirten sınıfları bulunduran dosyadır.
</p>

<p>
Politika dosyasının değiştirilmemesi imza doğrulama için hayati önem  taşır. Politika dosyasında hangi  kontrollerin  yapılacağı  ve  hangi  sertifikalara  güvenileceği bilgisi  yer almaktadır. Kötü niyetli kişiler politika dosyasını değiştirerek, kötü niyetle yaratılmış imzaların doğrulanmasını sağlayabilirler.
Politika dosyası için aşağıdaki güvenlik önlemleri uygulanabilir;
</p>
<ul>
<li class="level1"> Politika dosyası  sunucudan çekilir  ve  bellekte tutulur.  Böylelikle  politika  dosyasına dışardan müdahale olasılığı azalır.</li>
<li class="level2"> Politika dosyasının özeti sunucuda tutulur. İstemcideki politika dosyasının özeti alınır ve sunucudan çekilen	özet ile karşılaştırılır. DigestUtil sınıfı ile özet işlemini gerçekleştirebilirsiniz.</li>
<li class="level2"> Politika dosyası istemcide parola tabanlı şifrelenerek  tutulur ve şifresi bellekte çözülür. Bunun nasıl yapıldığı gösteren örneği "http:<em><a href="http://www.java2s.com/Tutorial/Java/0490Security/PBEFileEncrypt.htm"" class="urlextern" title="http://www.java2s.com/Tutorial/Java/0490Security/PBEFileEncrypt.htm""  rel="nofollow">www.java2s.com/Tutorial/Java/0490Security/PBEFileEncrypt.htm"</a> adresinde bulabilirsiniz.
    * Politika dosyası imzalı bir şekilde tutulur. Politika dosyasına karar  verildikten sonra  politika dosyası bir kere  imzalanır ve bu imzalı dosya  istemcilerde tutulur. İmzalanan politika dosyasının imzası doğrulanırsa ve imza doğru kişi tarafından atılmışsa; politika dosyasına güvenilebilir. Doğru kişi imzalamış mı kontrolünün yapılması için, kodunuzun içine imzacı sertifikasının  gömülmesi gerekmektedir. Kodunuzu, devamlı değiştiremeyeceğinizden imzalama işleminde kullandığınız  akıllı kartı veya pfx dosyasını kesinlikle kaybetmemeniz gerekmektedir. Politika dosyasını PKCS7 standardında imzalayabilirsiniz.  PKCS7 tipindeki imza için <a href="/esya-api/doku.php?id=esya:smartcard:pkcs7" class="wikilink1" title="esya:smartcard:pkcs7">buraya</a> bakabilirsiniz.

Yukarıdaki güvenlik önlemleri birlikte veya tek olarak uygulanabilir. Politika dosyasının güvensiz bir şekilde istemcilerde durmasını kesinlikle önermiyoruz.

==== Sertifika-SİL Durum Bilgisi ====

Esya Sertifika Doğrulama Kütüphanesi sertifika ve SİL doğrulama işlemi sonucunda Sertifika Durum Bilgisi (CertificateStatusInfo) ve SİL Durum Bilgisi (CRLStatusInfo) sınıflarından bir nesne oluşturur. Bu sınıf içerisinde ayrıntılı kontrol detayları , oluşturulmuş ve doğrulanmaya çalışılan farklı sertifika zincirleri doğrulanma sonuçlarıyla birlikte detaylı olarak saklanır.  Bu sınıfın nesnesinin kullanımı, örnek kodlarla birlikte <a href="/esya-api/doku.php?id=esya:cades:eimza-cades-kutuphanesi" class="wikilink1" title="esya:cades:eimza-cades-kutuphanesi">CAdES İmza Kütüphanesi</a> bölümünde daha detaylı olarak görülebilir. 

===== Yerel Sertifika Deposu =====

Sertifika deposu güvenilir olduğu kabul edilen yayıncı sertifikalarının saklanabileceği bir sertifika deposu geliştirilmiştir.

Sertifika deposu aynı zamanda doğrulama işlemi sırasında bulunması gereken yayıncı sertifikası , SİL, OCSP cevabı gibi verilerin sürekli uzak kaynaklardan çekilmesini engellemek için bu verilerin yerelde saklanabilmesinden sorumludur.

Sertifika deposunun varsayılan yeri, kullanıcının ana klasörünün(user home  directory) altındaki ".sertifikadeposu" klasörünün içidir.  Varsayılan dosya  ismi ise "SertifikaDeposu. svt"dir. Eğer   farklı bir dosya yolu ve dosya ismi kullanılması isteniyorsa, sertifika doğrulama politika dosyasında belirtilmelidir. Bunun için storepath parametresi kullanılmalıdır.

Sertifika Deposu’unun daha detaylı bilgileri için Sertifika Deposu Dökümanına başvurulmalıdır.
Esya Sertifika Doğrulama API si yerel sertifika deposunda güvenilir kök sertifikası olarak tanımlanmış seritikaları güvenilir olarak kabul eder ve doğrulama sırasında oluşturduğu sertifika zincirlerinin bu sertifikalardan biriyle sonlanmasını bekler. API’de yer alan yerel sertifika deposundan sertifika ve sil bulucular aracılığıyla doğrulama verileri istenildiğinde yerel depodan bulunabilir.
Sertifika deposunun varsayılan yeri, kullanıcının ana klasörünün(user home  directory) altındaki ".sertifikadeposu" klasörünün içidir.  Varsayılan dosya  ismi ise "SertifikaDeposu. svt"dir. Eğer   farklı bir dosya yolu ve dosya ismi kullanılması isteniyorsa, sertifika doğrulama politika dosyasında belirtilmelidir. Bunun için storepath parametresi kullanılmalıdır.

</em><<em>sxh xml>
</em><<em>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.trusted.TrustedCertificateFinderFromECertStore">
</em><<em>param name="storepath" value="T:\MA3\api-parent\certStore\SertifikaDeposu.svt"/>
</em><<em>/class>
</em><<em>/sxh>

Test sertifikalarıyla çalışırken sertifikanın doğrulanması sırasında  PATH_VALIDATION_FAILURE hatası alabilirsiniz. Bunun sebebi test sertifikalarının köklerinin sertifika deposunda güvenilir sertifika olarak tanımlanmadığından olabilir. Bu kök sertifikaları dosya yoluyla belirtebilirsiniz. Yalnız bu kullanım sadece test amacıyla yapılmalıdır.

</em><<em>sxh xml>
</em><<em>class name="("tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.trusted.TrustedCertificateFinderFromFileSystem">
</em><<em>param name="dizin" value="T:\\MA3\\api-cmssignature\\testdata\\support\\UGRootCerts\\"/>
</em><<em>/class>
</em><<em>/sxh>

===== XML Sertifika Deposu =====

Dosya sistemine herhangi bir şekilde erişimin olmadığı durumlarda kullanılması için XML tabanlı sertifika deposu dosyası geliştirilmiştir. Bu şekilde uzaktaki bir depo ile çalışabilmek mümkün olmaktadır.

Sertifika doğrulama konfigürasyon dosyasında XML depodan güvenilir sertifika  bulucu aşağıdaki gibi tanımlanır:

</em><<em>sxh xml>
</em><<em>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.trusted.TrustedCertificateFinderFromXml">
</em><<em>param name="storepath" value="http:</em><a href="http://www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/" class="urlextern" title="http://www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/"  rel="nofollow">www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/</a>></li>
</ul>

<p>
<em><</em>/class>
Yine xml depodan sertifika bulucu aşağıdaki şekilde tanımlanır:
<em><</em>class name="tr.gov.tubitak.uekae.esya.api.certificate.validation.find.certificate.CertificateFinderFromXml">
<em><</em>param name="storepath" value="http:<em><a href="http://www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/" class="urlextern" title="http://www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/"  rel="nofollow">www.kamusm.gov.tr/depo/xml/XmlDepo.xml"/</a>>
</em><<em>/class>
</em><<em>/sxh>

XML depodan güvenilir sertifika bulucu parametre olarak bir URL almaktadır. Performans arttırmak için yerel ağlarda bu dosyanın bir kopyasını bulundurmak ve onunla çalışmak faydalı olur.

Bunun yanında xml sertifika deposu sadece ESYA sertifika doğrulama kütüphanesi ile kullanılmalıdır. Aksi taktirde man-in-the-midle saldırısına kapı açılmış olur. ESYA Kütüphanesi bu dosyadaki güvenilir sertifikalar için imza kontrolü yapmaktadır.

Bir diğer göz önünde bulundurulması gereken konu performanstır. Yerel sertifika deposu kullanılırken imza doğrulamada kullanılan iptal listeleri depoya kaydedilip tekrar kullanılabilirken, xml sertifika deposu sadece okuma özellikli olduğu için bu katkıdan mahrum kalınacak, iptal listeleri her doğrulamada tekrar indirilmek zorunda kalınacaktır. Bu da ciddi performans kaybına yol açar.
</p>

</div>
ESYAE-imza Kütüphaneleri

User Tools

Site Tools

Page Tools
