← Tüm Sorulara Dön

Arabuluculuk portalına yüklenen e-imzalı anlaşma belgesinde DYS 'Geçersiz Kök Sertifika' hatası veriyor, Kamu SM sertifikalarını Java Keystore'a manuel mi eklemem gerekiyor?

Arabuluculuk müzakereleri sonucunda tarafların ve vekillerin elektronik imza ile imzaladığı son tutanak ve anlaşma belgesini Arabulucu Portalı üzerinden sisteme yüklemek istediğimde DYS altyapısı 'Geçersiz Kök Sertifika' (Untrusted / Invalid Root CA) uyarısı vererek yüklemeyi durduruyor. Taraflardan birinin imzası TÜBİTAK Kamu SM altyapısından alınmış nitelikli elektronik sertifika içermektedir. Bu sorunun giderilmesi için yerel Java Keystore (cacerts) kütüphanesine Kamu SM kök sertifikalarını elle yüklemek şart mıdır, doğru çözüm adımı nedir?

Durum: Çözüldü Kategori: Soru-Cevap

2 Cevap

✓

Arabuluculuk Portalı ve DYS üzerinde karşılaşılan 'Geçersiz Kök Sertifika' hatası, belgede kullanılan elektronik imzanın kök ve alt kök (NES / OCSP) sertifikalarının Java çalışma ortamı veya işletim sistemi güvenilen kök sertifika deposu (Truststore) tarafından doğrulanamamasından ileri gelir. TÜBİTAK Kamu SM zaman zaman kök sertifikalarını yenilemekte (Kök Sertifika Sürüm 5, Sürüm 6 vb.) ve eski Java sürümleri bu yeni kökleri tanımadığı için imza zinciri doğrulanamamaktadır.

Bu sorunu kalıcı olarak gidermek için şu teknik adımları takip etmelisiniz:

Kamu SM Kök ve Alt Kök Sertifikalarını Temin Edin: TÜBİTAK Kamu SM web sitesindeki (kamusm.bilgem.tubitak.gov.tr) 'Depo -> Kök ve Alt Kök Sertifikalar' bölümünden güncel Kök Sertifika ve Nitelikli Elektronik Sertifika Hizmet Sağlayıcısı (NES) sertifikalarını (.crt formatında) bilgisayarınıza indirin.
Sertifikaları Java Keystore'a (cacerts) Ekleyin: Yönetici haklarıyla komut istemini (CMD) açın ve Java dizinindeki keytool aracı ile sertifikaları ekleyin:
keytool -import -trustcacerts -alias kamusmroot -file "C:\yol\kamusm_kok.crt" -keystore "C:\Program Files\Java\jre1.8.0_xxx\lib\security\cacerts"
(Varsayılan Java Keystore parolası: changeit).
Windows Sertifika Deposu Entegrasyonu: UYAP Doküman Editörü ve portal imzalama eklentisi varsayılan olarak Java cacerts yerine Windows kök sertifika deposunu kullanacak şekilde ayarlanabilir. Editör seçeneklerinden 'Kök Sertifika Kaynağı: Windows Sertifika Deposu' olarak işaretlendiğinde, Windows Update ile gelen Kamu SM sertifikaları otomatik olarak devreye girer.
Tam Sertifika Zinciri (PAdES / CAdES Chain) ile İmzalama: Belgeyi imzalarken kullandığınız imzalama yazılımında 'Sertifika Zincirini Belgeye Göm' (Include Full Certificate Chain) ayarının açık olduğundan emin olun. Bu sayede belgenin içine kök ve ara sertifikalar doğrudan gömüleceğinden, DYS sunucuları harici bir doğrulama aramasına ihtiyaç duymadan imzanın geçerliliğini onaylar.

Yanıtlayan

Kıdemli Altyapı Mühendisi Fatih R.

Benzer bir kök sertifika sorununu geçtiğimiz hafta arabuluculuk tutanağını gönderirken yaşadım. Manuel komut satırıyla uğraşmak yerine Kamu SM'nin sitesinde bulunan 'Otomatik Kök Sertifika Yükleme Aracı'nı indirip yönetici olarak çalıştırdım. Program hem Windows hem de bilgisayarda kurulu tüm Java sürümlerine güncel TÜBİTAK kök sertifikalarını saniyeler içinde ekledi. Ardından AKİS Kart İzleme Aracını son sürüme güncelleyip tarayıcı önbelleğini temizlediğimde DYS belgeyi sorunsuz kabul etti.

Yanıtlayan

Av. Arb. Nermin Y.