eIDAS, e-Mühür ve DPP İmzalama

Pasaport verisini imzalamak, "kim beyan etti ve değişti mi" sorusunu cevaplar. AB hukukunda bunun çerçevesi eIDAStır. Önemli bir ayrım var: gerçek kişiler imza atar, tüzel kişiler mühür basar.

Seviyeler

Pasaport yayınında pratik hedef, en az gelişmiş elektronik mühürdür; regülatif beyanların ağırlaştığı senaryolarda nitelikli mühür tercih edilir.

Neden mühür, imza değil?

Pasaportu bir kişi değil, ekonomik operatör (şirket) beyan eder. Kişiye bağlı bir imza, o kişi ayrıldığında sorun yaratır. Mühür ise kuruma bağlıdır ve kurumsal süreklilikle uyumludur.

Ne imzalanmalı?

• Her pasaport sürümü kendi imzasını taşımalıdır. Bkz. denetim izi ve sürümleme.
• Tedarikçi beyanları mümkünse imzalı alınmalıdır. Bkz. doğrulanabilir kimlik bilgileri.
• Güncelleme makbuzları: kim, ne zaman, neyi değiştirdi.

Anahtar yönetimi

Pasaport, ürünün beklenen ömrü boyunca doğrulanabilir kalmalıdır — bu 20 yıl olabilir. Tasarım kuralları:

1. Anahtar rotasyonu planlayın; eski imzalar geçerliliğini korumalı.
2. Zaman damgası kullanın: imzanın hangi anda geçerli olduğunu sabitler.
3. Anahtarları güvenli donanımda saklayın.
4. Doğrulama zincirini yayımlayın: okuyucu bağımsız doğrulayabilmeli.

Bkz. EN 18246 veri doğrulama ve DPP sistemlerinde siber güvenlik.

KVKK/GDPR ile ilişki

Mühür bir kuruma aittir ve kişisel veri içermez. Ancak denetim kayıtlarında kullanıcı kimlikleri yer alabilir; bu kayıtların saklama süresi ve erişimi tanımlanmalıdır. Bkz. KVKK/GDPR ve DPP verisi.

Sık sorulan sorular