LTV (Long Term Validation) Nedir? E-İmzalarda Uzun Dönemli Doğrulama ve Arşivleme

Bireysel veya kurumsal elektronik imzalar genellikle 1, 2 veya 3 yıllık kullanım sürelerine sahiptir. Peki 10 yıl sonra bir mahkeme incelemesinde veya denetimde, sertifikası yıllar önce sona ermiş bir PDF belgesinin imza anında geçerli olduğu nasıl doğrulanır? Bu sorunun cevabı LTV (Long Term Validation) teknolojisidir.

1. LTV Olmadan İmzalanan Belgelerdeki Riskler

Basit düzeyde imzalanan bir e-imza paketinde (PAdES-B-B veya CAdES-BES):

• İmzacının sertifikası süresi bittiğinde, doğrulayıcı yazılım (örneğin Adobe Acrobat) 'Sertifikanın geçerlilik süresi dolmuş' uyarısı verir.
• İmza anında sertifikanın iptal edilip edilmediğini gösteren OCSP veya CRL listeleri belgenin içinde gömülü değildir.
• İmza zamanını kanıtlayan bağımsız bir zaman damgası yoksa, belgenin sertifika süresi dolduktan sonra geriye dönük sahte olarak üretilmediği ispatlanamaz.

2. PAdES-LTV ve CAdES-A Mimarisi Nasıl Çalışır?

LTV (Uzun Süreli Doğrulama) aktif edildiğinde belgeye şu hayati bileşenler kalıcı olarak gömülür (DSSI - Document Security Store):

1. Sertifika Zinciri: Kök sertifika makamı, ara makamlar ve kullanıcı sertifikası PDF içerisine kaydedilir.
2. İptal Durumu Kayıtları (OCSP / CRL): İmza atıldığı saniyede sertifikanın temiz olduğunu belgeleyen EHS veya Kamu SM yanıtları dosyaya gömülür.
3. Arşiv Zaman Damgası: Belgenin ve iptal verilerinin üzerine RFC 3161 uyumlu yetkili zaman damgası basılır.

3. Şirket Arşivleri İçin Önemi

Ticaret Kanunu ve Vergi Usul Kanunu uyarınca sözleşmeler ve muhasebe kayıtları 10 yıl saklanmak zorundadır. Şirketlerin dijital sözleşme sistemlerinde LTV profilini zorunlu tutması hukuki ihtilafları önlemenin tek güvencesidir. Özel anahtarların donanımsal güvenliği için Özel Anahtar (Private Key) Neden Kopyalanamaz? analizimizi inceleyebilirsiniz.