PDF'de Elektronik İmza: SIG Formatının Analizi ve Uygulama Talimatları

PDF bağlamında SIG (Signature), ayrı bir dosya formatı değil, belgenin yapısına gömülü dijital imza bloğunun genel adıdır. Kullanıcılar genellikle "SIG formatında imza" ifadesiyle, bir PDF dosyasının bütünlüğünü ve yazarlığını garanti ederek kriptografik olarak onaylanmasını sağlayan PAdES (PDF Gelişmiş Elektronik İmzalar) standardını kastederler. Belgeyi doğru şekilde imzalamak için sertifikalı yazılımlar (örneğin KriptoARM, eklentili Adobe Acrobat Pro veya EDS çevrimiçi hizmetleri) ve elektronik imza doğrulama anahtarı için nitelikli sertifika (NEİ) kullanılması gerekir.

SIG aslında nedir ve neden kafa karışıklığı oluşur?

"SIG" terimi, yazılım arayüzlerinde veya teknik özelliklerde signature (imza) kelimesinin kısaltması olarak sıkça karşılaşılır. Görsel görünüm ile kriptografik özü arasındaki farkı anlamak önemlidir:

1. Görsel imza — PDF'e eklenen basit bir resimdir (el imzasının taranmış hali). Kendi başına hukuki bir geçerliliği yoktur ve kolayca sahte yapılabilir.
2. Elektronik imza (EI/Dİ) — dosyaya eklenen şifrelenmiş bilgidir. Belgenin içeriği ile matematiksel olarak bağlantılıdır. İmzalı bir PDF'te tek bir boşluk bile değiştirilirse, imza geçersiz hale gelir.

Rusya ve AET ülkelerinde PDF imzalama için temel standart GOST R 34.10-2012'dir. Uluslararası uygulamada ise PAdES standardı (ETSI ailesinin bir parçası) hakimdir. "SIG formatı"ndan bahsedildiğinde, genellikle bu standartlardan birine göre PDF'e gömülü imza kastedilir.

PDF'in doğru imzalanması için gereksinimler

İmzalı PDF'in karşı taraf, vergi dairesi veya mahkeme tarafından kabul edilmesi için bir dizi kritere uyması gerekir:

• İmzanın niteliği. Hukuki açıdan önemli belge trafiği (kamu alımları, raporlama, devlet kurumlarıyla sözleşmeler) için akredite bir Sertifika Hizmet Sağlayıcısı (SHS) tarafından verilen Nitelikli Elektronik İmza (NEİ) gereklidir.
• Sertifika durumu. Anahtar sertifikası, imzalama anında geçerli olmalıdır.
• Belge bütünlüğü. İmza uygulandıktan sonra dosyada herhangi bir değişiklik yapılmasına izin verilmez. İkinci bir imza eklenmesi gerekiyorsa, "artımlı güncelleme" modu kullanılır (belge genişletilir ancak eski kısım değiştirilmez).
• Zaman damgası (Time-stamp). Güvenilir bir hizmetten (TSA) zaman damgasının bulunması tercih edilir. Bu, sertifikanın süresi dolmuş olsa bile belgenin belirtilen tarihte imzalandığını teyit eder.

Adım adım talimat: PDF'e elektronik imza nasıl atılır?

Süreç, seçilen yazılıma bağlı olarak farklılık gösterebilir, ancak mantık her zaman aynıdır. En popüler iki senaryoyu inceleyelim.

Senaryo 1: KriptoARM GOST (veya benzeri yerel yazılım) kullanımı

Bu, Rus GOST sertifikalarıyla çalışmak için standart çözümdür.

1. Hazırlık. SHS kök sertifikalarını ve kişisel sertifikayı Windows deposuna yükleyin. Bilgisayarda bir kriptografik sağlayıcının (örneğin KriptoPro CSP) kurulu olduğundan emin olun.
2. Sihirbazı başlatma. KriptoARM'ı açın ve "İmzala" seçeneğini belirleyin.
3. Dosya seçimi. Gerekli PDF belgesini ekleyin.
   • Dikkat: İmzanın PDF içinde (bitişik) olmasını istiyorsanız, programın PDF konteynerleriyle doğrudan çalışmayı desteklediğinden emin olun veya özel eklentiler kullanın. Çoğu zaman KriptoARM ayrık bir imza (.sig dosyası) oluşturur.
4. Sertifika seçimi. İmzalama için kullanacağınız sertifikayı belirtin.
5. Kodlama. Çıktı formatını seçin. Ayrı bir dosya oluşturuluyorsa PDF için DER veya Base64 kodlamasını seçmek daha iyidir. Program imzayı PDF'e gömmeyi destekliyorsa, "Dosyaya Göm" seçeneğini seçin (PAdES desteği gerektirir).
6. Kaydetme. Sonucun kaydedileceği yolu belirtin.

Senaryo 2: KriptoPro eklentisi ile Adobe Acrobat Pro DC kullanımı

Bu yöntem, içinde görünür bir imza damgası bulunan eksiksiz bir PDF oluşturmanızı sağlar.

1. Ayarlar. Adobe Acrobat'a GOST ile çalışmak için bir eklenti yükleyin (örneğin KriptoPro veya Signal-Com'dan).
2. Belgeyi açma. PDF'i Acrobat'ta açın.
3. İmza aracı. "Araçlar" -> "Sertifikalar" -> "Dijital İmzalar" sekmesine gidin.
4. Alan oluşturma. İmza damgasının bulunacağı belge üzerindeki alanı fare ile seçin.
5. Sertifika seçimi. Açılan pencerede nitelikli sertifikanızı seçin.
6. İmzalama. "İmzala" düğmesine basın. Program dosyanın yeni bir sürümünün kaydedilmesini isteyecektir.
7. Sonuç. Sol panelde yeşil bir onay işareti "İmza geçerli" gösteren bir PDF elde edersiniz (sertifikaya güvenilmesi koşuluyla).

PDF imzalama yöntemlerinin karşılaştırılması

İmzalama sırasında yapılan yaygın hatalar

1. İmzaladıktan sonra dosyanın değiştirilmesi. Dosyanın başka bir PDF düzenleyicide kazara kaydedilmesi bile imza yapısını bozabilir. Her zaman imzalama işleminden hemen sonra elde edilen orijinali gönderin.
2. NEİ gereken yerde niteliksiz elektronik imza (NEİ olmayan) kullanılması. NEİ, taraflar arasında anlaşma varsa dahili belge trafiği için uygundur. FNS'ye raporlama yapmak veya devlet portallarında çalışmak için sadece NEİ gereklidir.
3. Güven zincirinin eksikliği. Alıcı "Sertifika bilinmiyor" hatası görüyorsa, SHS'nizin kök sertifikaları yüklü değildir. Bu sorun, kök sertifikanın iletilmesi veya genel olarak güvenilen SHS'lerin kullanılmasıyla çözülür.
4. Formatlarla ilgili kafa karışıklığı. .sig dosyasını normal bir belge gibi açmaya çalışmak. İmza dosyası, kaynak belge ve doğrulayıcı yazılım olmadan "okunamaz".

SSS

Program yüklemeden sıradan bir flash bellekle PDF imzalayabilir miyim? Hayır. NEİ ile çalışmak için bilgisayarda mutlaka bir kriptografik sağlayıcı (sürücü) ve tarayıcı veya imzalama yazılımı için bir eklenti bulunmalıdır. Ancak bazı bulut EDS hizmetleri, hesaplamaların sunucuda yapıldığı ve sizin sadece SMS koduyla işlemi onayladığınız bulut imzası kullanmanıza olanak tanır.

Karşı taraf PDF'imdeki imzamı görmüyorsa ne yapmalıyım? Muhtemelen dosyayı basit bir görüntüleyicide (örneğin Chrome tarayıcısına yerleşik olan) açıyor ve bu görüntüleyici Rus GOST standartlarını desteklemiyor olabilir. Kendisinden güven ayarları yapılandırılmış Adobe Acrobat Reader veya özel yazılımlar (KriptoARM, ViPNet) kullanmasını isteyin.

İmzalı belgenin taranmış kopyası ile imzalı PDF arasındaki fark nedir? Taranmış kopya, Photoshop'ta düzenlenebilen basit bir resimdir. Elektronik imzalı PDF kriptografik olarak korunur: herhangi bir değişiklik imzayı geçersiz kılar ve bu durum doğrulama sırasında hemen fark edilir.

Sayfada görünür bir imza damgasının bulunması zorunlu mudur? Hayır. İmza görünmez (gizli) olabilir. Bunun hukuki geçerliliği üzerinde hiçbir etkisi yoktur. Görünür damga yalnızca kullanıcıların belgeyi yazdırırken veya görüntülerken durumunu görmeleri için kolaylık sağlar.