Biyometrik İmza ve Dijital Onam Süreçlerinde Üst Düzey Güvenlik ve Hukuki Geçerlilik Mimarisi
Dijital onam süreçlerinin hukuki geçerliliği, yalnızca ekrana çizilen basit bir görselden ibaret değildir. Gelişmiş bir dijital imza altyapısı, verinin kaynağını doğrulayan, bütünlüğünü koruyan ve sonradan inkar edilmesini matematiksel olarak imkansız kılan karmaşık kriptografik protokollere dayanır. Donanımdan bağımsız olarak çalışan bu güvenlik mimarisi, kurumları her türlü hukuki itilafa karşı koruyan 5 temel katmandan oluşur:
1. Biyometrik Verilerin Kriptografik Şifrelemesi (Asimetrik Şifreleme)
Dijital dokunmatik ekranlar üzerinden alınan imzalarda sistem, yalnızca ortaya çıkan görseli kaydetmekle yetinmez. İmzanın atılış hızı, ekrana uygulanan basınç şiddeti, yönü, eğimi ve ritmi gibi tamamen kişiye özgü (davranışsal) biyometrik parametreler milisaniyeler içinde dijital olarak kayıt altına alınır. Bu dinamik veriler, taklit edilmesi neredeyse imkansız olan eşsiz bir dijital kimlik oluşturur. KVKK kapsamında "özel nitelikli kişisel veri" statüsünde olan bu parametreler, sunucularda düz metin (plaintext) olarak tutulmaz; ileri düzey asimetrik kriptografi (RSA veya ECC algoritmaları) ile anında şifrelenerek doğrudan ilgili PDF belgesinin içerisine ayrılmaz bir şekilde gömülür (embedded).
2. Belge Bütünlüğü (Data Integrity) ve Kriptografik Kilitlenme
İmza işlemi sırasında, aydınlatılmış onam veya yasal sözleşmenin içeriği, benzersiz bir matematiksel özet fonksiyonundan (Hash - örn. SHA-256) geçirilir. İmzacıya ait şifrelenmiş biyometrik veriler ile belgenin hash değeri, PAdES (PDF Advanced Electronic Signatures) standardında birbirine kriptografik olarak kilitlenir. Bu mekanizma, belge üzerinde yapılacak en ufak bir değişikliği dahi anında tespit eder. İmzalanan belgenin içerisindeki tek bir harf veya virgül bile sonradan değiştirilmeye çalışılırsa, hash değeri bozulur ve dijital imza otomatik olarak "geçersiz" statüsüne düşer.
3. Çok Faktörlü Kimlik Doğrulama (MFA) ile Aşılmaz Kimlik Kanıtı
Gelişmiş güvenlik mimarisi, kimlik hırsızlığı ve sahtecilik riskini sıfıra indirmek üzere katmanlı bir yapıda çalışır. İmza sürecinden hemen önce, kurumun ana veri tabanı üzerinden API aracılığıyla kişinin kayıtlı cep telefonu numarasına rastgele üretilmiş bir Tek Kullanımlık Şifre (OTP) gönderilir. SMS ile gerçekleştirilen bu çift faktörlü doğrulama (2FA), işlemi yapan kişinin o an orada bulunan yetkili/doğru kişi olduğunu teyit eder ve hukuki "kimlik kanıtı" (identity proof) zincirini şüpheye yer bırakmayacak şekilde tamamlar.
4. Yetkili Zaman Damgası (Time Stamp) ile Kesin İnkaredilemezlik
Hukuki ihtilaflarda en sık karşılaşılan "Bu imza o tarihte atılmadı, evrak geriye dönük düzenlendi" şeklindeki iddiaları kökünden çürüten teknoloji zaman damgasıdır. İmzalama ve OTP doğrulama adımları tamamlandığı anda, sistem TLS/HTTPS aktarım güvenliği protokollerini kullanarak belgeyi anında mühürler. TÜBİTAK Kamu SM veya e-Güven gibi yetkili elektronik sertifika hizmet sağlayıcılarından (ESHS) API üzerinden alınan bu zaman damgası, belgenin tam olarak hangi yıl, ay, gün, saat ve saniyede imzalandığını ve o andan itibaren bütünlüğünün korunduğunu uluslararası RFC 3161 standartlarında kanıtlar.
5. Hukuki Geçerlilik ve HMK Madde 199 Kapsamında "Kesin Delil" Statüsü Donanımdan bağımsız olarak arka planda kurgulanan bu kriptografik sistem, ulusal ve uluslararası elektronik imza mevzuatları ile %100 uyumludur. Zaman damgasıyla mühürlenmiş, OTP ile doğrulanmış ve biyometrik verilerle şifrelenmiş bu belgeler, Hukuk Muhakemeleri Kanunu (HMK) Madde 199 uyarınca hukuken geçerli "belge (kesin delil)" niteliği taşır. Olası bir uyuşmazlıkta, adli bilişim uzmanları ve bilirkişiler, belgenin içine gömülü olan gizli basınç, hız ve ivme verilerini inceleyerek, imzanın kesinlikle o kişiye ait olduğunu adli tıp standartlarında ispatlayabilir.