Security analysis of electronic signature applications and test suite study

Abstract

Dijital imza teknolojisi, elektronik ticaret ve haberleşmede yaygın olarak kullanılmaktadır. Yakın zaman içerisinde, devlet kurumlarının da elektronik imzayı sıklıkla kullanmaya başlamasıyla, güvenli dijital imzalama ve doğrulama uygulamaları oluşturmanın önemi daha da artmıştır. CEN (Avrupa Standardizasyon Komitesi) imza oluşturma ve doğrulama uygulamalarının güvenlik gereksinimleri üzerine çalışmalar yapmıştır fakat imza uygulamalarının güvenilirliliğini test etmek adına dizayn edilmiş PKI modeli veya uygulanabilir bir test paketi bulunmamaktadır. Tez çalışmamızda bu eksikliği gidermek için çalıştık ve uygulamaların imza oluşturma ve doğrulama alanlarında güvenlik testlerini yapacak PKI modelini ve bu modelin gerçeklenmesiyle elde edilen E-İmza Test Süitini oluşturduk. E-İmza Test Süiti, içerisinde birçok sertifika ve imzalı dosyayı barındıran, belirtilen amaç için üretilmiş ve PKI altyapısında oluşabilecek hatalı durumların büyük çoğunu kapsayan test paketidir. Bu tezde ayrıca sertifika ve imza doğrulama konularındaki bir takım güvenlik ve verimlilik problemlerine de çözümler ürettik.Anahtar Kelimeler: Digital Signature, PKI, X509, CMS, Time Stamp

Digital signature technology is used widely for security and trust in electronic business and communications. Nowadays it becomes commonly used especially in government agencies.From this point of view, it is crucial to implement correct applications to create and verify digital signatures. CEN (European Commitee for Standardization) has introduced the security requirements for signature applications but neither proposed a PKI model nor implemented a test suite to evaluate the accuracy of signature applications. This is a real necessity, because a signature application has to be hardly tested and the responses of the application to a wide range of wrong scenarios have to be well analyzed. In our thesis we aimed to design a unique PKI model and state whole problematic scenarios both in signature creation and verification and address the lack of such a suite by designing E-Signature Test Suite. E-Signature Test Suite is a set of certificates and signature files created for this aim. We also aimed to solve some security and efficiency problems derived from validation processes of revocation datas.Keywords: Digital Signature, PKI, X509, CMS, Time Stamp