.sig Dosyası: İmza Doğrulama ve Formatla Çalışma Kılavuzu

Kerem Aydın·8 Temmuz 2026·⏱4 dk

.sig (veya .asc) uzantılı dosya, ana dosyanın orijinalliğini ve bütünlüğünü doğrulayan bir dijital imza kapsayıcısıdır. Başlı başına okunabilir yararlı bilgiler (metin veya görseller) içermez. Bir belge gibi basitçe "açılamaz" veya doğrudan PDF'ye dönüştürülemez. Verilere erişmek için, şifreli doğrulama yapan özel yazılımlar (örneğin GnuPG, OpenSSL veya işletim sisteminin yerleşik araçları) kullanılarak orijinal dosyanın .sig dosyasıyla birlikte işlenmesi gerekir.

SIG Dosyası Nedir ve Nasıl Çalışır?

.sig uzantısı çoğunlukla OpenPGP/GPG açık standardıyla ilişkilendirilir, ancak diğer kriptografik sistemlerde de (örneğin CMS/PKCS#7) karşımıza çıkabilir.

Temel Amaç

  1. Kimlik Doğrulama: Dosyanın belirtilen yazar tarafından oluşturulduğunu teyit eder.
  2. Bütünlük: Verilerin imzalandıktan sonra değiştirilmediğini (kazara veya kötü niyetli biri tarafından) garanti eder.

Teknik İşleyiş

.sig dosyası, ana belgenin şifrelenmiş hash değerini (dijital parmak izi) içerir. Doğrulama sırasında program şu adımları izler:

  1. Bilgisayarınızdaki mevcut dosyanın hash değerini hesaplar.
  2. Yazarın genel anahtarını kullanarak .sig dosyasındaki hash değerinin şifresini çözer.
  3. İki değeri karşılaştırır. Eşleşiyorlarsa imza geçerlidir.

Önemli: .sig dosyası, orijinal belge olmadan işe yaramaz. document.pdf.sig indirdiyseniz ancak document.pdf dosyasını kaybettiyseniz, belgenin içeriğini imzadan geri yüklemek imkansızdır.

SIG İmzası Nasıl Açılır ve Kontrol Edilir?

.sig ikili (binary) veya metin tabanlı kriptografik veriler olduğundan, bunu "açmak" yalnızca doğrulama anlamında mümkündür. Yöntem, dosyanın neyle imzalandığına bağlıdır.

Yöntem 1: PGP/GPG İmzasının Kontrolü (En Yaygın Durum)

Linux dağıtımlarının, kaynak kodların ve bağımsız geliştiricilerin belgelerinin doğrulanması için kullanılır.

Araçlar: GnuPG (GPG), Kleopatra (Windows), GPG Suite (macOS).

Komut satırı üzerinden kontrol (GPG):

  1. GnuPG'yi kurun.
  2. Yazarın genel anahtarını içe aktarın (genellikle web sitelerinde veya anahtar sunucularında bulunur):
    gpg --import author_public_key.asc
    ```
3.  Doğrulamayı başlatın:
    
```bash
    gpg --verify file.zip.sig file.zip
    ```
    *Çıktıda `Good signature` ifadesi varsa, dosya orijinaldir.*

### Yöntem 2: Windows'ta İmza Kontrolü (Authenticode/SIG)
Bazen `.sig` dosyaları Microsoft sürücülerini veya sistem güncellemelerini accompanies eder.

1.  `.sig` dosyasını ve ana dosyayı (örneğin `.exe` veya `.cab`) aynı klasöre koyun.
2.  Ana dosyaya sağ tıklayın → **Özellikler** → **Dijital İmzalar** sekmesine gidin.
3.  Sistem imzayı otomatik olarak algılamazsa, `signtool` yardımcı programını (Windows SDK'nın bir parçasıdır) kullanın:
    
```cmd
    signtool verify /pa /v file.exe
    ```

### Yöntem 3: PDF İmzasının Kontrolü (Eğer SIG İçindeyse)
Kullanıcılar genellikle `.sig` ararken PDF içindeki görsel imzayı kastederler. Bu durumda ayrı bir dosya yoktur; imza gömülüdür.

1.  Dosyayı **Adobe Acrobat Reader** ile açın.
2.  Üstteki imza paneline tıklayın.
3.  **İmza Özellikleri** → **İmza Durumunu Göster** seçeneğini belirleyin.
4.  "İmza Geçerli" durumu, belgenin imzalandığı andan beri değiştirilmediği anlamına gelir.

Normal Kullanıcılar İçin İpucu: Resmi web sitesinden bir program indirdiyseniz ve yanında bir .sig dosyası varsa ancak GPG kullanmayı bilmiyorsanız, genellikle dosyanın SHA-256 toplamını web sitesinde belirtilenle karşılaştırmak yeterlidir. Bu, kripto anahtarlarını yapılandırmaktan daha kolaydır.

SIG PDF'ye Dönüştürülebilir mi?

Kısa cevap: Hayır, doğrudan dönüştürme imkansız ve anlamsızdır.

Neden "SIG'den PDF'ye" Dönüşüm Yapılamaz?

  • Farklı Veri Doğası: PDF, bir belge sunum formatıdır (metin, vektör, raster). SIG ise matematiksel bir hash toplamı ve sertifikadır. .sig dosyasında görüntülenebilecek metin, resim veya sayfa yoktur.
  • İçerik Eksikliği: .sig dosyasını "dönüştürmeye" çalışmak ya bir hataya yol açar ya da içinde anlaşılmaz bir sembol dizisi (imzanın ikili kodu) bulunan bir PDF dosyası oluşturur. Bu, belgeyi okunabilir hale getirmez.

İmzalı PDF Gerekirse Ne Yapmalı?

Amacınız yasal olarak geçerli bir belge elde etmekse:

  1. Orijinal dosyayı bulun. Onsuz .sig işe yaramaz.
  2. İmzayı kontrol edin. Orijinal dosyanın bozulmadığından emin olun.
  3. Orijinal dosya ile çalışın. Orijinal dosya zaten PDF ise, sadece açın. Farklı bir formattaysa (örneğin Word), açıp PDF olarak kaydedin. Bu işlem sırasında dijital imza düşecektir (çünkü dosya hash'i değişir), ancak belgenin kendisi okunabilir hale gelecektir.

Dolandırıcılara Dikkat: Size sadece bir .sig dosyası gönderip, bunun "gizli bir belge" olduğunu ve özel bir program veya ücret karşılığında açılabileceğini iddia ediyorlarsa, bu bir dolandırıcılıktır. Belgeyi imzadan kriptografik olarak geri yüklemek imkansızdır.

SIG ile Çalışırken Sık Yapılan Hatalar

HataNedenÇözüm
Bad signatureDosya indirme sırasında hasar görmüş veya değiştirilmişDosyayı güvenilir bir kaynaktan yeniden indirin
No public key foundYazarın genel anahtarına sahip değilsinizGenel anahtarı (.asc veya .pub) bulup içe aktarın
File not foundKontrol sırasında orijinal dosyanın yolu belirtilmemişHer iki dosyanın da (.sig ve orijinal) yan yana olduğundan ve isimlerin doğru yazıldığından emin olun
Not Defteri'nde açmaya çalışmakSIG, ikili veya özel bir metin formatıdırMetin editörleri yerine özel yazılımlar (GPG, OpenSSL) kullanın

SSS

.sig dosyası silinebilir mi? Evet, imzayı zaten kontrol ettiyseniz ve kaynağa güveniyorsanız veya doğrulama gerekmiyorsa (örneğin kişisel dosyalar için) silebilirsiniz. .sig dosyasının silinmesi programın veya belgenin çalışma şeklini etkilemez, ancak gelecekte dosyanın orijinalliğini kanıtlama imkanınızı kaybedersiniz.

.sig dosyasını açmak güvenli midir? Evet, imza dosyasının kendisi çalıştırılmaz ve virüs içermez. Tehlike, yalnızca ilgili olduğu ana dosyadan gelir. Ancak yürütülebilir dosyaları çalıştırmadan önce her zaman dijital imzayı kontrol edin.

.sig ile .asc arasındaki fark nedir? Çoğu zaman ikisi aynı şeydir (PGP imzası). .asc genellikle e-posta ile kopyalamayı kolaylaştıran ASCII-zırhlı (metin tabanlı) imza temsilini ifade eder. .sig daha sık olarak ikili formatta olur. Her iki tür de GPG aracılığıyla aynı şekilde kontrol edilir.

Kendi .sig dosyamı nasıl oluşturabilirim? Bunun için bir anahtar çiftine (özel ve genel) ihtiyacınız vardır. Şu komutu kullanın: gpg --detach-sign --output document.sig document.pdf Özel anahtarınızı asla kimseye vermeyin.