Son Geçerlilik Tarihiniz ve Doküman Numaranız, Kimlik Numaranız Kadar Değerli Bilgilerdir

Vatandaşlık numaramızı paylaşırken genellikle temkinli davranırız. Buna karşılık pasaport veya kimlik belgesinin doküman numarası ile son geçerlilik tarihini uçak bileti, otel rezervasyonu, vize başvurusu, insan kaynakları süreci ya da destek kaydı gibi işlemlerde daha rahat paylaşabiliriz.

Oysa bu iki alan yalnızca belge üzerinde yer alan idari bilgiler değildir. Bir kişiye ve onun resmî belgesine bağlandıkları için kişisel veridirler. Elektronik pasaportlarda ise doğum tarihiyle birlikte Basic Access Control (BAC) anahtarlarının türetilmesine katılabilirler. Bu nedenle güvenlik değerleri, ilk bakışta düşündüğümüzden çok daha yüksektir.

Son geçerlilik tarihi ve doküman numarası, vatandaşlık numarasıyla aynı veri değildir; fakat yanlış kişilerin elinde benzer derecede dikkat gerektiren bir kimlik ve güvenlik bileşenine dönüşebilir.

Önce kavramları ayıralım

Bu yazıdaki karşılaştırma, vatandaşlık numarasının BAC hesaplamasında kullanıldığı anlamına gelmez. BAC’in MRZ tabanlı anahtar türetme sürecinde vatandaşlık numarası değil, belgeye ait şu bilgiler kullanılır:

• Doküman numarası ve kontrol basamağı,
• Doğum tarihi ve kontrol basamağı,
• Son geçerlilik tarihi ve kontrol basamağı.

Vatandaşlık numarası kişiyi ulusal kayıt sistemi içinde tanımlayan kalıcı bir numaradır. Doküman numarası ise belirli bir pasaport veya kimlik belgesini tanımlar ve belge yenilendiğinde değişebilir. Son geçerlilik tarihi de doğrudan o dokümanın yaşam döngüsüne aittir.

Bunlar farklı veri alanlarıdır; ancak “farklı” olmaları “önemsiz” oldukları anlamına gelmez. Bir verinin değeri yalnızca insan tarafından okununca ne anlattığıyla değil, bir sistem tarafından hangi işlemin girdisi olarak kullanıldığıyla da ölçülür.

BAC nedir ve neden bu alanları kullanır?

Basic Access Control, elektronik makine tarafından okunabilir seyahat belgelerinde temassız çipe erişimi kontrol etmek için tasarlanmış bir mekanizmadır. Temel amacı, pasaport kapalıyken veya belge sahibinin bilgisi dışında yapılan rastgele temassız okumaları zorlaştırmaktır.

Okuyucu sistem önce pasaportun veri sayfasındaki MRZ alanını optik olarak okur veya gerekli bilgileri operatörden alır. ICAO Doc 9303 Part 11’e göre BAC için kullanılan MRZ_information, doküman numarası, doğum tarihi ve son geçerlilik tarihinin kendi kontrol basamaklarıyla birleştirilmesinden oluşur.

MRZ_information =
    Doküman Numarası + Kontrol Basamağı
  + Doğum Tarihi + Kontrol Basamağı
  + Son Geçerlilik Tarihi + Kontrol Basamağı

Bu byte dizisinin SHA‑1 özeti alınır ve özetin en anlamlı 16 baytı anahtar tohumu olarak kullanılır. Bu tohumdan iki ayrı Document Basic Access Key türetilir:

Kseed = SHA-1(MRZ_information)[0..15]

KEnc = KDF(Kseed, 1)   // şifreleme için
KMAC = KDF(Kseed, 2)   // mesaj bütünlüğü için

KEnc, güvenli kanal içerisindeki verinin şifrelenmesinde; KMAC ise mesajların bütünlüğünün ve doğruluğunun kontrolünde kullanılır. Böylece pasaporttaki görünür alanları okuyamayan bir sistemin çiple anlamlı bir BAC oturumu kurması zorlaştırılır.

Son geçerlilik tarihi neden sıradan bir tarih değildir?

“2031’e kadar geçerli” ifadesi tek başına bakıldığında düşük riskli görünebilir. Fakat bu tarih belirli bir doküman numarası ve doğum tarihiyle eşleştirildiğinde üç farklı role sahip olur:

1. Kişisel veri: Belirli veya belirlenebilir bir kişiye ait resmî belgeyle ilişkilidir.
2. Belge yaşam döngüsü verisi: Belgenin aktif, süresi dolmuş veya yenilenmesi gereken durumda olduğunu gösterir.
3. Kriptografik protokol girdisi: BAC anahtar tohumunun oluşturulmasına katılır.

Bu üçüncü rol, son geçerlilik tarihini teknik açıdan özel kılar. Alan, tek başına bir şifre veya kriptografik anahtar değildir. Ancak başka MRZ alanlarıyla bir araya geldiğinde erişim kontrol mekanizmasının başlangıç materyalinin parçası olur.

Doküman numarası neden vatandaşlık numarası kadar dikkat gerektirir?

Doküman numarası çoğu zaman “zaten pasaportun üzerinde yazıyor” düşüncesiyle paylaşılır. Fakat bu numara:

• Belirli bir resmî belgeyi tekilleştirir,
• Seyahat ve kimlik doğrulama kayıtlarıyla eşleştirilebilir,
• Rezervasyon, vize, sınır geçişi veya müşteri kayıtlarında arama anahtarı olarak kullanılabilir,
• Doğum ve son geçerlilik tarihleriyle birlikte BAC türetme girdisinin en değişken bileşenidir,
• Belge görüntüleri, e-postalar, destek kayıtları ve uygulama logları arasında korelasyon kurulmasını kolaylaştırabilir.

Vatandaşlık numarası genellikle kişinin yaşamı boyunca sabit kalırken doküman numarası belge yenilendiğinde değişir. Bu nedenle iki alanın hukuki ve operasyonel özellikleri aynı değildir. Buna rağmen her ikisi de yetkisiz paylaşım, kimlik sahteciliği ve sistemler arası eşleştirme açısından güçlü tanımlayıcılardır.

Bu verileri bilen biri pasaport çipini hemen okuyabilir mi?

Hayır. Konuyu dramatize etmeden doğru sınırları çizmek gerekir.

• Bu üç alanın bilinmesi, pasaporttaki dijital imzaların kırıldığı anlamına gelmez.
• Document Signer veya CSCA özel anahtarları bu bilgilerden türetilmez.
• BAC, çip verisinin doğruluğunu tek başına kanıtlamaz; Passive Authentication gibi ayrı kontroller gerekir.
• Uzaktan ve sınırsız mesafeden erişim sağlamaz; temassız çip iletişimi için uygun okuyucu ve fiziksel yakınlık gerekir.
• Belgenin desteklediği protokoller ve güvenlik yapılandırması sonucu etkiler.

Bununla birlikte BAC kullanan bir pasaportun MRZ bilgileri tamamen ele geçirilmişse, bu bilgilerin gizliliğine dayanan ilk erişim engeli artık aynı koruma değerini sunmaz. Risk, alanların ayrı ayrı değil birlikte ele geçirilmesiyle yükselir.

BAC neden sınırlı bir güvenlik mekanizmasıdır?

ICAO Doc 9303, BAC’in güvenliğinin basılı MRZ verisinin sınırlı rastgeleliğine bağlı olduğunu açıkça belirtir. Doğum ve son geçerlilik tarihleri dar ve tahmin edilebilir aralıklardadır. Doküman numaralarının üretim yöntemi de her zaman tam rastgele olmayabilir.

Dolayısıyla BAC anahtarları, rastgele üretilmiş yüksek entropili anahtarlarla aynı güvenlik özelliklerine sahip değildir. ICAO bu sınırlamanın BAC’in simetrik ve MRZ tabanlı tasarımından kaynaklandığını, PACE’in bu problemi aşmak üzere geliştirildiğini açıklamaktadır.

PACE neyi değiştirir?

Password Authenticated Connection Establishment (PACE), düşük entropili bir parola veya MRZ bilgisi kullanılsa bile asimetrik kriptografi yardımıyla güçlü session anahtarları kurulmasını sağlar. PACE kullanılan belgelerde MRZ bilgisi ya da Card Access Number (CAN) protokolün başlangıcında kullanılabilir; ancak kurulan oturum anahtarlarının gücü yalnızca bu bilginin entropisine bağlı kalmaz.

Bu, MRZ alanlarının artık korunmasına gerek olmadığı anlamına gelmez. Aynı alanlar hâlâ kişisel veri, belge tanımlayıcısı ve farklı iş süreçlerinin girdisidir. PACE yalnızca erişim protokolündeki belirli kriptografik zayıflığı daha güçlü bir tasarımla ele alır.

Her elektronik kimlik kartı BAC kullanır mı?

Hayır. BAC, özellikle ICAO uyumlu elektronik makine tarafından okunabilir seyahat belgeleri bağlamında değerlendirilmelidir. Ulusal elektronik kimlik kartları PACE, CAN, PIN, terminal authentication veya ülkeye özel başka protokoller kullanabilir.

Bu nedenle “son geçerlilik tarihi bütün temassız kimlik kartlarının anahtarıdır” şeklinde genelleme yapılmamalıdır. Doğru ifade şudur:

BAC kullanan ePassport/eMRTD belgelerinde doküman numarası, doğum tarihi ve son geçerlilik tarihi BAC anahtar türetme sürecinin girdileridir.

KVKK açısından değerlendirme

6698 sayılı Kanun, kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Kişisel Verileri Koruma Kurumu da doğum tarihini açıkça kişisel veri örnekleri arasında göstermektedir.

Doküman numarası belirli bir kişiye ait resmî belgeyle ilişkilendirildiği için kişisel veridir. Son geçerlilik tarihi tek başına bir kişiyi göstermeyebilir; ancak belge numarası, kişi kaydı veya belge görüntüsüyle ilişkilendirildiğinde kişisel veri niteliği taşır.

Bu alanlar kural olarak KVKK Madde 6 kapsamındaki özel nitelikli kişisel veri kategorilerinden biri değildir. Fakat özel nitelikli olmamak, düşük güvenlik tedbiriyle korunabilecekleri anlamına gelmez. Veri sorumlusu, risk ve işleme bağlamına uygun teknik ve idari tedbirleri almakla yükümlüdür.

GDPR açısından değerlendirme

GDPR Madde 4, doğrudan veya dolaylı biçimde tanımlanabilen gerçek kişiye ilişkin bilgileri kişisel veri kabul eder. Doküman numarası açık bir tanımlayıcıdır; doğum ve son geçerlilik tarihleri de kişi veya belge kaydıyla ilişkilendirildiklerinde aynı kapsama girer.

Bunlar tek başlarına genellikle GDPR Madde 9’daki special category data değildir. Buna rağmen kimlik sahteciliği, yetkisiz belge sorgulama ve farklı kayıtların eşleştirilmesi gibi riskler nedeniyle güçlü güvenlik kontrolleri gerektirir.

Hem KVKK hem GDPR açısından temel soru yalnızca “Bu veri kişisel veri mi?” değildir. Şu sorular da cevaplanmalıdır:

• Veri hangi belirli ve meşru amaç için toplanıyor?
• Bu amaç için gerçekten bütün alanlara ihtiyaç var mı?
• İşlemenin hukuki dayanağı nedir?
• İlgili kişi yeterli biçimde aydınlatıldı mı?
• Veri kimlerle ve hangi ülkelerle paylaşılıyor?
• Ne kadar süre saklanıyor?
• Süre sona erdiğinde güvenli biçimde siliniyor mu?

Gerçek risk çoğu zaman çipten önce başlar

Bu alanların sızması için gelişmiş bir RFID saldırısına ihtiyaç yoktur. Daha yaygın risk kaynakları şunlardır:

• Pasaport fotoğrafının mesajlaşma uygulamasıyla gönderilmesi,
• Vize veya seyahat başvurusunda yüklenen belgenin gereğinden uzun saklanması,
• Doküman numarası ve tarihlerin uygulama loglarına açık yazılması,
• Destek talebine ekran görüntüsü ya da belge kopyası eklenmesi,
• Test ortamlarında gerçek müşteri verisi kullanılması,
• Analitik veya hata izleme servislerine form alanlarının gönderilmesi,
• Yetkisi geniş çalışanların toplu kayıtları dışa aktarabilmesi.

Dolayısıyla tehdit modeli yalnızca “birisi NFC okuyucuyla pasaportuma yaklaşır mı?” sorusundan oluşmaz. Belge verisinin bütün dijital yaşam döngüsü incelenmelidir.

Kurumlar bu alanları nasıl korumalı?

Veri minimizasyonu

Bir işlem yalnızca belgenin geçerli olup olmadığını gerektiriyorsa tam tarihi saklamak yerine doğrulama sonucunun tutulup tutulamayacağı değerlendirilmelidir. Doküman numarasının tamamı kullanıcı arayüzünde ve raporlarda gösterilmemeli, gerekli yerlerde maskelenmelidir.

Log ve gözlemlenebilirlik güvenliği

Form body’leri, API payload’ları ve OCR çıktıları varsayılan olarak loglanmamalıdır. Gerekli teknik loglarda doküman numarası geri döndürülemez biçimde tokenlaştırılmalı veya yalnızca son birkaç karakter gösterilmelidir.

Alan veya kayıt seviyesinde şifreleme

Veri tabanı disk şifrelemesi tek başına yeterli kabul edilmemelidir. Yüksek riskli doküman alanları için uygulama veya alan seviyesinde şifreleme; anahtarların ise ayrı bir KMS/HSM sistemiyle yönetilmesi değerlendirilmelidir.

Erişim kontrolü ve amaç ayrımı

Rezervasyon servisi, destek ekibi, analitik sistemi ve kimlik doğrulama servisi aynı ham belge verisine erişmemelidir. Servis ve kullanıcı yetkileri amaçlarına göre ayrılmalı; toplu sorgular ayrıca izlenmelidir.

Saklama süresi ve güvenli silme

“İleride gerekebilir” gerekçesi sınırsız saklama için yeterli değildir. Yasal ve operasyonel süreler belirlenmeli; veri, yedekler ve türetilmiş kopyalar dâhil yaşam döngüsü sonunda silinmelidir.

Gerçek veri yerine sentetik test verisi

Geliştirme ve test ortamlarında gerçek pasaport veya kimlik kayıtları kullanılmamalıdır. MRZ kurallarına uygun fakat gerçek kişiye ait olmayan sentetik belge verileri tercih edilmelidir.

Bireyler ne yapabilir?

• Pasaport veya kimlik görüntüsünü yalnızca gerçekten gerekli olduğunda paylaşın.
• Belge kopyasına mümkünse paylaşım amacı, alıcı ve tarih içeren filigran ekleyin.
• Gerekmiyorsa doküman numarası, MRZ ve son geçerlilik tarihini maskeleyin.
• Belgeyi açık e-posta eki veya kontrolsüz mesajlaşma grubu üzerinden göndermeyin.
• Belge isteyen kurumun neden istediğini, ne kadar saklayacağını ve kimlerle paylaşacağını sorun.
• Paylaşım bağlantılarının herkese açık olmadığını ve süreli olduğunu kontrol edin.

Sonuç: Değer, verinin sistemde ne yaptığıyla belirlenir

Vatandaşlık numarasını koruyup doküman numarası ile son geçerlilik tarihini önemsiz görmek hatalı bir güvenlik yaklaşımıdır. Bu alanlar kişiyi ve resmî belgesini tanımlamakla kalmaz; BAC kullanan elektronik pasaportlarda doğum tarihiyle birlikte çip erişim anahtarlarının türetilmesine katılır.

Bu nedenle doğru soru “Bu alan özel nitelikli kişisel veri mi?” ile sınırlı kalmamalıdır. Asıl soru şudur:

Bu bilgi başka verilerle birleştiğinde hangi kimlik, erişim veya güvenlik işlemini mümkün kılıyor?

Son geçerlilik tarihi bir parola değildir. Doküman numarası da vatandaşlık numarasıyla aynı değildir. Ancak ikisi de bağlam içinde yüksek değerli kişisel veridir ve en az vatandaşlık numarası kadar bilinçli biçimde korunmayı hak eder.

Bu yazı genel teknik ve hukuki bilgilendirme amacı taşır; somut veri işleme faaliyeti için hukuki danışmanlık yerine geçmez.

Resmî kaynaklar

• ICAO Doc 9303 Part 11 — Security Mechanisms for MRTDs
• ICAO Doc 9303 belge koleksiyonu
• Kişisel Verileri Koruma Kurumu — Kişisel Veriler
• KVKK Kurulunun 2024/275 sayılı karar özeti
• European Union — General Data Protection Regulation