Zaman Damgası Nedir? RFC 3161 ile Logların Hukuki Geçerliliği

Çözülen sorun: "Bu dosya o gün gerçekten böyle miydi?"

Bir log dosyası, mahkemede veya denetimde ancak iki soruya olumlu cevap verebiliyorsa delildir:

Bu kayıt iddia edilen tarihte var mıydı?
O tarihten bu yana tek bir bayt bile değişmediği ispatlanabiliyor mu?

Dosya sisteminin "değiştirilme tarihi" ispat sayılmaz — saniyeler içinde manipüle edilebilir. Nitelikli zaman damgası (trusted timestamp) tam olarak bu iki soruyu, bağımsız ve yetkili bir üçüncü tarafın kriptografik imzasıyla cevaplar.

Nasıl çalışır? (RFC 3161)

Zaman damgası protokolü RFC 3161 ile standartlaşmıştır. Süreç dört adımdır ve işin zarif tarafı şudur: dosyanın kendisi hiçbir zaman dışarı gönderilmez.

Özet (hash) üretimi Dosyanın SHA-256 özeti hesaplanır: 64 karakterlik benzersiz parmak izi. Dosyada tek karakter değişse özet tamamen farklı çıkar.
Damga isteği (TSQ) Yalnızca bu özet, TimeStampRequest paketi içinde Zaman Damgası Otoritesi'ne (TSA) gönderilir.
İmzalı yanıt (TSR) TSA, özeti kendi güvenilir saatinin tarihiyle birleştirip özel anahtarıyla imzalar: TimeStampToken.
Arşivleme Token, dosyayla birlikte saklanır. Doğrulama anında dosyanın özeti yeniden hesaplanır ve token'daki özetle karşılaştırılır.

# OpenSSL ile aynı sürecin elle yapılışı:
openssl ts -query -data 2026-10-25.log -sha256 -out istek.tsq
curl -s -H "Content-Type: application/timestamp-query" \
     --data-binary @istek.tsq https://tsa.ornek-eshs.gov.tr > yanit.tsr
openssl ts -verify -data 2026-10-25.log -in yanit.tsr -CAfile tsa-zincir.pem
# => Verification: OK

Doğrulama OK dönüyorsa matematiksel olarak kanıtlanmıştır: bu dosya, damganın içindeki tarihte vardı ve o günden beri değişmedi.

Türkiye bağlamı: 5070 ve ESHS

Her TSA'nın damgası hukuken eşdeğer değildir. Türkiye'de 5070 sayılı Elektronik İmza Kanunu, "nitelikli zaman damgası"nı tanımlar ve bunu yalnızca BTK tarafından yetkilendirilmiş Elektronik Sertifika Hizmet Sağlayıcılarının (ESHS) verebileceğini söyler. TÜBİTAK Kamu SM ve özel ESHS'ler bu hizmeti sunar.

5651 kapsamındaki log kayıtlarının "doğruluğu ispatlanabilir" olması şartı, pratikte bu nitelikli damga ile karşılanır. Yurtdışı ücretsiz TSA'lar teknik olarak çalışır ama Türk hukukunda nitelikli damga statüsü taşımaz.

Log dosyalarında damgalama pratiği

Teoride her log satırını tek tek damgalayabilirsiniz; pratikte bu hem pahalı hem gereksizdir. Doğru desen günlük toplu damgalamadır:

Gün sonunda (örn. 00:05) kaynak bazlı log dosyaları kapatılır ve sıkıştırılır.
Her dosyanın SHA-256 özeti alınır; istenirse özetlerin birleşiminden tek bir "gün özeti" üretilir (hash ağacı).
ESHS'den damga alınır; token ve özet listesi loglarla birlikte arşive yazılır.
Damga alınamadıysa (ağ/ESHS kesintisi) sistem alarm üretir ve ilk fırsatta yeniden dener — sessiz başarısızlık kabul edilemez.

ℹ SYSLOG'da bu süreç tamamen otomatiktir: günlük dosyalar kapatılır, özetlenir, yetkili ESHS'den RFC 3161 damgası alınır, token arşive eklenir ve durum panelde raporlanır. Denetimde "doğrula" düğmesi tek adımda bütünlük raporu üretir.

Sık sorulanlar

Damga, dosyanın içeriğini ESHS'ye gösterir mi? Hayır. ESHS yalnızca 64 karakterlik özeti görür; log içeriği kurum dışına çıkmaz. KVKK açısından da bu kritik bir avantajdır.

Damganın geçerliliği dolar mı? TSA sertifikasının ömrü sınırlıdır; uzun saklama sürelerinde (arşiv) damganın yenilenmesi (re-stamping) iyi pratiktir. SYSLOG arşiv damgalarını takip eder.

Hash'i ben alıp damgayı sonra alsam? Damganın tarihi, ESHS'nin imzaladığı andır — öncesinde ne yaptığınız fark etmez. Bu yüzden damgalama gecikmeden, kayıt gününde yapılmalıdır.

Özet

Zaman damgası, logların "o tarihte vardı ve değişmedi" ispatıdır; dosya tarihleri ispat değildir.
RFC 3161 süreci özet üzerinden çalışır; log içeriği dışarı çıkmaz.
Türkiye'de hukuki geçerlilik için damga, 5070 kapsamında yetkili ESHS'den alınmalıdır.
Günlük otomatik damgalama + başarısızlık alarmı, uyumlu altyapının asgari standardıdır.