PDF dijital imza ücretsiz nasıl doğrulanır (Acrobat gerekmez)

Dijital imzalar ve taranmış mühürler: Görsel görünümün neden hiçbir şeyi kanıtlamadığı

E-posta yoluyla bir iş sözleşmesi, tedarikçi anlaşması, resmi yazı veya fatura aldığınızda dosyanın orijinal ve değiştirilmemiş olduğundan nasıl emin olabilirsiniz? Çoğu kişi yalnızca sayfanın en altına bakar, el yazısı bir imza veya şirket mührü görür ve belgenin yasal olarak bağlayıcı olduğunu varsayar.

Dijital adli bilişimde görsel görünüm neredeyse hiçbir şey kanıtlamaz. Sıradan bir elektronik imza (örneğin imzanın taranmış bir PNG resmi veya fareyle çizilmiş bir şekil) sayfanın üzerine eklenmiş basit bir resim katmanından ibarettir. Temel görsel düzenleme araçlarına sahip herhangi biri bu mühür resmini kopyalayabilir, sahte bir faturaya yapıştırabilir ve banka hesap numaralarını görünür hiçbir iz bırakmadan değiştirebilir.

Buna karşılık, gerçek bir kriptografik dijital imza, uluslararası ISO 32000 standardı ve PAdES şartnameleri doğrultusunda ikili (binary) düzeyde çalışır. Dekoratif çizimler yerine, onaylı bir açık anahtar sertifikasını doğrudan dosyanın kesin bayt akışına bağlar. Yetkisiz bir kişi imza atıldıktan sonra tek bir noktalama işaretini, tarihi veya rakamı değiştirirse matematiksel mühür anında bozulur.

Yıllarca bu imzaları doğrulamak için Adobe Acrobat Pro gibi yüksek abonelik ücretleri olan masaüstü programları gerekiyordu. Sözleşmelerin geçerliliğini denetlemek isteyen bireyler ve işletmeler için bu maliyetler gereksizdir. Günümüz modern web platformları, tarayıcı üzerinden hızlı, bağımsız ve tamamen ücretsiz doğrulama sağlar.

İmzalanmış sözleşmelerin kriptografik geçerliliğini AZ2PDF İmza Doğrulama aracı ile onaylayın. X.509 sertifika zincirlerini inceler, zaman damgalarını doğrular ve bayt akışının değiştirilmediğini kanıtlar.

PDF imza doğrulama nasıl çalışır: ByteRange hash değerleri ve ISO 32000

Kriptografik imzaların neden taklit edilemeyeceğini anlamak için imzalı bir PDF'nin ikili mimarisini incelemek gerekir. Belgeye dijital sertifika uygulandığında açık anahtar altyapısı (PKI) tarafından yönetilen kapsamlı bir kriptografik el sıkışma gerçekleştirilir:

1. ByteRange dizisinin tanımlanması

PDF nesne yapısı içinde imza sözlüğü (/Sig), /ByteRange adlı kritik bir girdi içerir. Bu, iki çift bayt ofsetini ve uzunluğunu temsil eden dört tamsayıdan oluşan bir dizidir: [offset1, length1, offset2, length2].

İlk çift, dosyanın ilk baytından imza bloğunun başladığı yere kadar olan kısmı kapsar. İkinci çift, imza bloğunun bittiği yerden dosyanın son baytına kadar uzanır. Aradaki boşluk, onaltılık (hex) biçiminde PKCS#7 veya CMS ikili imza zarfını tutan /Contents anahtarıdır.

2. Kriptografik özetin (Hash) hesaplanması

İmzalamadan önce yazılım, ByteRange ile belirtilen tüm baytlar üzerinden tek yönlü bir hash (genellikle SHA-256) hesaplar. Bu, belgenin o andaki kesin durumunu temsil eden benzersiz bir dijital parmak izi oluşturur.

İmzalayanın özel anahtarı bu hash özetini şifreler. Yalnızca yasal sahip özel anahtara sahip olduğundan, bu blok yalnızca eşleşen açık anahtarla deşifre edilebilir. Doğrulama sırasında motor, belgenin ByteRange alanı üzerinde SHA-256 hash değerini yeniden hesaplar ve imza zarfından çıkarılan değerle karşılaştırır.

İki değer kusursuz eşleşirse belgenin değiştirilmediği matematiksel olarak kanıtlanır. Tek bir harf bile değiştirilmişse hash değerleri uyuşmaz ve araç anında tahrifat uyarısı verir.

Sertifika güven zincirleri ve PKIX yol doğrulaması açıklaması

Dosyanın değiştirilmediğini kanıtlamak doğrulamanın yalnızca ilk yarısıdır. İkinci yarı şu hukuki soruyu yanıtlar: Belgeyi gerçekte kim imzaladı ve sertifikasına güvenebilir miyiz?

PDF dijital imzaları X.509 Açık Anahtar Sertifikaları standardına dayanır. Güven tesis etmek için doğrulama motoru hiyerarşik bir sertifika zinciri oluşturur:

• Son varlık sertifikası (İmzalayan): Belgeyi imzalayan kişiyi veya şirketi doğrudan tanımlar. Ortak Ad (CN), kuruluş, e-posta adresi, seri numarası ve açık anahtarı barındırır.
• Ara sertifika yetkilisi (Intermediate CA): Büyük güven merkezleri kök anahtarlarını saldırılardan korumak için günlük belgeleri doğrudan imzalamaz; bu görevi ara sertifikalara devreder.
• Kök sertifika yetkilisi (Root CA - Güven Çapası): Zincirin en tepesidir. Bir imzanın varsayılan olarak güvenilir kabul edilmesi için bu Kök CA'nın Adobe Approved Trust List (AATL) veya işletim sistemi güven depolarında yer alması gerekir.

Kurum içi özel sertifikalar kullanıldığında standart okuyucular güvenilmez uyarısı verebilir. AZ2PDF, kurum içi imzaları yerel kurulum gerektirmeden doğrulamak için oturuma özel kök sertifikası eklenmesine olanak tanır.

Zaman damgaları neden önemlidir: RFC 3161 belirteçleri ve uzun süreli doğrulama (LTV)

Basit imza süreçlerinde en zayıf halka zaman bilgisidir. Temel iş akışlarında yazılım, tarihi ve saati imzalayanın yerel bilgisayar saatinden okur.

Yerel saate güvenmek hukuki açıklar doğurur: kötü niyetli biri bilgisayar saatini iki hafta geriye alarak süresi geçmiş bir sözleşmeyi imzalayabilir. Ayrıca dijital sertifikaların süresi 1-3 yılda dolar. 5 yıllık bir sözleşmeyi incelerken sertifikanın imza anında geçerli olduğunu nasıl ispatlayabilirsiniz?

1. Bağımsız RFC 3161 Zaman Damgası Yetkilileri (TSA)

Tartışmasız zaman kanıtı için yüksek güvenlikli belgeler bir RFC 3161 Zaman Damgası Belirteci (TST) içerir. İmzalamada belge hashi bağımsız bir Zaman Damgası Yetkilisine (TSA) gönderilir. TSA, hashi atomik saat zamanıyla bağlar, imzalar ve PDF içine yerleştirir.

2. Uzun süreli doğrulamanın (PAdES-LTV) etkinleştirilmesi

RFC 3161 zaman damgası mevcut olduğunda imza Uzun Süreli Doğrulama (LTV) kazanır. Sertifika yıllar sonra geçersiz kalsa bile doğrulama imzalama anındaki durumu esas alır. Zaman damgası imzanın sertifika aktifken atıldığını kanıtladığı için belge hukuki bağlayıcılığını on yıllarca korur.

İmzalayanların kimliğini doğruladıktan sonra, sözleşmeyi yetkisiz erişimlere karşı tamamen kilitlemek için güçlü AES-256 belge şifrelemesi de uygulayabilirsiniz.

İmzalı bir PDF 3 basit adımda ücretsiz olarak nasıl doğrulanır

AZ2PDF çevrimiçi araçlarıyla dijital imzalı bir PDF'nin gerçekliğini kontrol etmek birkaç saniye sürer. Yazılım kurulumu, üyelik veya kart bilgisi gerekmez:

Adım 1: İmzalı belgenizi yükleyin

Mac, Windows, Linux, iOS veya Android'de İmza Doğrulama aracını açın. İmzalı PDF dosyanızı yükleme alanına sürükleyip bırakın veya cihazınızdan seçin. AZ2PDF %100 ücretsizdir ve büyük boyutlu dosyaları sınırsız işler.

Adım 2: İsteğe bağlı özel sertifika doğrulama

Belge standart sertifikalarla (örneğin e-İmza, Mobil İmza, DocuSign, Adobe Sign) imzalanmışsa zincir denetimi otomatik yapılır. Özel kurumsal sertifikalarda, veren makamın sertifika dosyasını (.cer, .crt veya .pem) yükleyebilirsiniz.

Adım 3: İnceleme raporunu görüntüleyin

Doğrulama motoru imzayı izole bellekte ayrıştırır ve kapsamlı bir rapor sunar:

• Belge bütünlüğü durumu: Hash değerinin eşleştiğini ve imza sonrasında değişiklik yapılmadığını onaylar.
• İmzalayan kimliği: Ad (Common Name), kurum, birim ve e-posta adresini açıkça listeler.
• Sertifika yetkilisi ayrıntıları: Veren CA'yı, onaltılık seri numarasını ve anahtar uzunluğunu (örneğin RSA 2048 veya 4096 bit) gösterir.
• İmza zamanı: Saatin bağımsız bir RFC 3161 TSA tarafından mı yoksa yerel saatten mi alındığını belirtir.
• İptal durumu: Sertifikanın OCSP veya CRL listeleri üzerinden iptal edilip edilmediğini kontrol eder.

Doğrulanmış dosyaları paylaşmadan önce yetkisiz değişiklikleri önlemek ve izinleri kilitlemek için PDF dosyasını şifre ile koruyabilirsiniz.

İmza doğrulamasındaki yaygın uyarı mesajları için pratik çözümler

PDF okuyucular imzalı dosyaları açarken kafa karıştırıcı uyarılar verebilir. İşte bunların gerçek anlamları:

1. İmza geçerliliği bilinmiyor (Signature validity is unknown)

En sık karşılaşılan uyarıdır. Belgenin sahte olduğu anlamına gelmez. Matematiksel hesabın sağlam ve belgenin değiştirilmemiş olduğunu, ancak sertifikayı veren makamın okuyucunuzun güven deposunda kayıtlı olmadığını gösterir.

2. Belge imzalandıktan sonra değiştirildi (Document altered or modified)

Kritik bir güvenlik uyarısıdır. Yeniden hesaplanan hash imza zarfındakiyle uyuşmamaktadır. Metin düzenlendiğinde, sayfalar silindiğinde veya yetkisiz notlar eklendiğinde ortaya çıkar. Belge geçersiz sayılmalıdır.

3. İmzalayan sertifikasının süresi doldu (Signer certificate expired)

Sertifikanın geçerlilik süresinin bittiğini gösterir. Dosyada imzanın süresi dolmadan önce atıldığını kanıtlayan bir RFC 3161 zaman damgası varsa belge yasal geçerliliğini korur.

4. İptal denetimi tamamlanamadı (Revocation check failed)

Aracın internet üzerinden yetkili makamın OCSP veya CRL sunucularına erişemediği durumlarda (güvenlik duvarı engelleri vb.) oluşur. Çoğunlukla geçici bir ağ kısıtlamasıdır.

Gizlilik ve uyumluluk: Hukuki ve finansal kayıtlar için Sıfır Veri Saklama

İmza doğrulaması gerektiren belgeler neredeyse her zaman gizli ticari sırlar barındırır: şirket birleşmeleri, gizlilik sözleşmeleri (NDA) veya mali tablolar.

Geleneksel web servisleri yüklenen dosyaları bulut sunucularında günlerce saklayarak KVKK ve GDPR Madde 32 ihlallerine yol açabilmektedir.

Bu nedenle AZ2PDF, kesin bir Sıfır Veri Saklama (Zero Data Retention) prensibiyle çalışır:

• Yalnızca geçici RAM belleğinde işleme: Dosyalar yalnızca hash hesabı süresince bellekte tutulur, asla kalıcı disklere veya veri tabanlarına kaydedilmez.
• 5 dakika içinde otomatik temizleme: Bir arka plan servisi oturum verilerini işlemden sonraki 5 dakika içinde tamamen yok eder.
• Veri toplama ve yapay zeka eğitimi yok: AZ2PDF belge içeriklerinizi okumaz, saklamaz veya paylaşmaz; verileriniz asla yapay zeka modellerini eğitmek için kullanılmaz.

Sözleşmelerinizi AZ2PDF güvenli belge platformu ile veri sızıntısı endişesi olmadan güvenle doğrulayın.