DİJİTAL İMZA ,DİJİTAL SERTİFİKA,DİJİTAL NOTERLİK

· Dijital imza nedir?
Günlük hayatta kullanılan imzalarda olduğu gibi, dijital imzalar da elektronik ortamda gönderilen bilginin veya e-mail'in kime ait olduğunu göstermek için kullanılır. Dijital imzaların oluşturulmasında ve doğrulanmasında dijital sertifikalar kullanılır. Gönderdiğiniz veriyi imzalamak için kendinize ait bir dijital sertifikanız bulunmalıdır.

· Dijital imzanın özellikleri nelerdir?
1. Dijital imza bir kullanıcı, sunucu ya da host'tan gönderilen bilgilerin kesinlikle o kuruma veya kişiye ait olduğunu doğrulayarak, verinin başkası tarafından yollanmadığını garanti eder.
2. Dijital imza, veri akışı sırasında bilgilerin içeriğini korur, bir başka kişinin eline geçmesini ya da değiştirilmesini engeller, bilginin sadece alıcıya gittiğini ve sadece alıcı tarafından okunacağını garanti eder.
3. Dijital imza, veriyi gönderenin ve alanın kim olduğunun kanıtlanmasına imkan tanır. Yani imzalanmış bir dokümanı yollayan kişi onu yolladığını inkar edemez ve alıcı da aldığını inkar edemez.

· Dijital imza nasıl oluşturulur ve doğrulanır?
Gönderilecek mesaj özgün bir biçimde kısaltılarak mesajın yeni bir versiyonu elde edilir, buna "hash" adı verilir. Sonra saklı anahtar kullanılarak bu "hash" kodlanır. Bu kodlanmış "hash" dijital imza olarak kullanılır. Mesaj iletilirken bir şekilde değişirse bunun "hash"i ilk mesajdan farklı olur. Yani dijital imza mesaj ve saklı anahtara özgüdür. Dijital imza mesaja eklenir ve mesajla birlikte alıcıya gider. Alıcı mesajı, şifrelenmiş "hash"i yollayan kişinin açık anahtarını kullanarak çözer. Bu iki "hash" aynı ise saklı anahtarı sadece gönderen bildiği için bu mesajın gönderen kişiye ait olduğu ve mesajın değişmeden geldiği onaylanmış olur.

· Şifreleme nedir?
Şifreleme tekniği, sizin okuduğunuz bilgiyi bir başkasının okuyamayacağı bir yapıya dönüştürmek için kullanılır. Bu yöntemde bilgi, alıcı dışında başka bir kişi tarafından okunamaması yada değiştirilememesi için kodlanır. Bilgi, transfer sırasında bir başkasının eline geçse bile şifrelenmiş olduğundan okunması güçtür. Şifreleme ve şifreyi çözme için bir matematiksel algoritma ve bir anahtar gereklidir. Anahtar bir metin ile birlikte bir mesaj veya dijital imzayı şifrelemek üzere kullanılan özel bir sayı olarak nitelenebilir.

· Açık anahtar şifrelemesi nedir?
Bu sistemde bilgilerin güvenli bir ortamda iletimi için açık ve gizli anahtarlar kullanılır. Bir anahtarın diğerinden türetilmesi veya hesaplanması mümkün değildir. Açık anahtarın başkaları tarafından bilinmesinin bir sakıncası yoktur fakat saklı anahtarınızı kesinlikle bir başkası bilmemelidir. Dijital anahtarlar açık-gizli anahtar şifreleme algoritması üzerine kurulmuştur. Bir açık-gizli anahtar çifti bir sayı çiftinden ibarettir. Gizli anahtar sadece sahibi olan kişi ya da kurum tarafından bilinir ve dijital imzayı oluşturmak için kullanılır. Açık anahtar ise dijital imzaların doğrulanması için kullanılır. Bir dijital imzanın doğrulanması mesajın geldiği kişinin kimliğinin doğrulanması anlamına gelir.

· Anahtar nedir?
Anahtar, şifrelemek veya deşifre etmek için kullanılan sayısal karakterler dizisidir. Simetrik anahtar algoritmasında şifrelemek ve deşifre etmek için aynı anahtar; açık anahtar algoritmasında şifrelemek için açık anahtar, deşifre etmek için ise gizli anahtar kullanılır. Dijital imzalar açık anahtar algoritmasını kullanır. Dijital imza imzanın sahibinin gizli anahtarı kullanılarak oluşturulur. Alıcı da imza sahibinin açık anahtarını kullanarak imzasını kontrol eder.

· Kök sertifika nedir?
Kök sertifika, sertifikasyon kurumunun dijital sertifikasıdır. Kullanıcılar sertifika kurumunun kök sertifikasını Internet üzerinden bilgisayarlarına yüklerken, sertifika kurumunun güvenilirliğini kabul etmiş olurlar. Sertifika ile birlikte gelen açık anahtar öncelikle sertifikasyon kurumunun kimliğini doğrulamakta kullanılır. Bu açık anahtar sertifikasyon kurumunun dağıttığı sertifikaların da okunabilmesini ve böylece bu sertifikaların doğruluğunun kontrol edilebilmesini sağlar.

· Dijital Sertifika nedir?
Dijital sertifika, ya da dijital kimlik, günlük hayatta kullanılan ehliyet, pasaport gibi kimlik kartlarının elektronik ortamdaki karşılığını ifade eder. Dijital sertifika kişinin kimliğini ve söz konusu bilgiye veya online hizmete ulaşım hakkını kanıtlamak için elektronik olarak ibraz edilmek üzere geliştirilmiştir. Dijital sertifikalar dijital bilgileri şifrelemek ve şifrelenen bilgileri çözmek için kullanılan bir çift elektronik anahtar ile kimlik bilgisini bağlar. Dijital sertifika kullanıcıların ve kuruluşların bilgilerinin iletişim ağlarında güvenli bir şekilde iletilmesini sağlar.

 

· Dijital sertifika hangi bilgileri içerir?
Dijital sertifikada kullanıcıya ait açık anahtar, kullanıcının adı, son kullanma tarihi sertifikanın alındığı kurumun adı ve seri numarası bulunur.

· Dijital sertifikanın özellikleri nelerdir?
- Mesajların şifrelenmesi ve deşifre edilmesindeki güvenlik ve gizliliği sağlar
- Mesajı gönderenin ve mesajı alanın doğru yerler olduğunu garanti eder
- İletilen dokümanların tarih ve zamanını doğrular
- Doküman arşivi oluşturulmasını kolaylaştırır

· Dijital sertifika ne için gereklidir?
Dijital sertifikanız ile Internet üzerinde yaptığınız işlemlerde Internet tarayıcınız aracılığıyla kendi kimliğinizi kanıtlamış olursunuz. Bu sertifikalar Internet üzerindeki alışverişlerde, ticari faaliyetlerde ve bilgilerin şifrelenmesinde kullanılır. Elektronik ticaret yapan şirketler ve finansal kurumlar başta olmak üzere bir çok kurum Internet üzerinde gerçek ve yasal bir şirket olduklarını kanıtlamak için sertifikaya ihtiyaç duymaktadırlar. Ayrıca Internet bankacılığı, online alışveriş gibi iletilen bilginin gizliliği ve doğruluğunun çok önemli olduğu işlemlerin yaygınlaşması ve bu siteleri kullanan kişilerin de kimliklerinin doğrulanabilmesi için şifre kullanımının yanı sıra dijital sertifikanın da kullanılması güvenliğin arttırılmasını sağladığından, birçok firma müşterilerinden dijital sertifika talep etmeye başlamışlardır. Türkiye'de ise yasal düzenlemelerin eksik olması nedeniyle dijital sertifikalar henüz kullanıcılar tarafından kullanılmamaktadır. Ancak AB'ye uyum çalışmaları ile beraber yasal düzenlemelerin gerçekleştirilmesi ve böylece dijital imzaların kullanımının başlaması beklenmektedir. ·

· Dijital sertifika nasıl çalışır?
Sertifikasyon kurumu güvenilir bir kaynak olarak, bir kurum ya da kişiyi bir açık anahtar ile eşleştirir. Dijital sertifika açık anahtar ile kişi veya kurumun eşleştirilmiş halidir. Dijital anahtarlar açık-gizli anahtar şifreleme algoritması üzerine kurulmuştur. Bir açık-gizli anahtar çifti bir sayı çiftinden ibarettir. Gizli anahtar sadece sahibi olan kişi ya da kurum tarafından bilinir ve dijital imzayı oluşturmak için kullanılır. Açık anahtar ise dijital imzaların doğrulanması için kullanılır. Bir dijital imzanın doğrulanması mesajın geldiği kişinin kimliğinin doğrulanması anlamına gelir.

· Dijital sertifikayı nasıl alabilirim?
GlobalSign ve VeriSign gibi sertifikasyon kurumlarından temin edilebilir. Sertifika isteyen kişinin bilgileri sertifikasyon kurumuna ulaştıktan ve doğrulandıktan sonra sertifika talepleri otomatik olarak işleme konur ve elektronik ortamda sertifikalar iletilir.

· Sertifikasyon kurumu nedir?
Dijital sertifikaların verilmesi ve yönetilmesini gerçekleştiren kurumdur. Dijital sertifikalar bu kurumların gizli anahtarıyla imzalanır.

· Dijital sertifikayı destekleyen uygulamalar?
- Microsoft Internet Explorer v3.02 ve daha üst versiyonları
- Netscape Navigator v3.xx
- Netscape Communicator v4.xx

 

SSL network üzerindeki bilgi transferi sırasında güvenlik ve gizliliğin sağlanması amacıyla Netscape tarafından geliştirilmiş bir güvenlik protokolüdür. 1996 yılında 3.0 versiyonunun çıkarılmasıyla hemen bütün Internet tarayıcılarının (Microsoft Explorer, Netscape Navigator vb) desteklediği bir standart haline gelmiş ve çok geniş uygulama alanları bulmuştur.

SSL gönderilen bilginin kesinlikle ve sadece doğru adreste deşifre edilebilmesini sağlar. Bilgi gönderilmeden önce otomatik olarak şifrelenir ve sadece doğru alıcı tarafından deşifre edilebilir. Her iki tarafta da doğrulama yapılarak işlemin ve bilginin gizliliği ve bütünlüğü korunur.

Veri akışında kullanılan şifreleme yönteminin gücü kullanılan anahtar uzunluğuna bağlıdır. Anahtar uzunluğu bilginin korunması için çok önemlidir. Örneğin; 8 bit üzerinden bir iletimin çözülmesi son derece kolaydır. Bit, ikilik sayma düzeninde bir rakamı ifade eder. Bir bit, 0 veya 1 olmak üzere 2 farklı değer alabilir. 8 bit ise sadece 28=256 olası farklı anahtar içerir. Bir bilgisayar bu 256 farklı olasılığı sıra ile inceleyerek bir sonuca ulaşabilir. SSL protokolünde 40 bit ve 128 bit şifreleme kullanılmaktadır. 128 bit şifrelemede 2128 değişik anahtar vardır ve bu şifrenin çözülebilmesi çok büyük bir maliyet ve zaman gerektirir. Kötü niyetli bir kişinin 128 bit'lik şifreyi çözebilmesi için 1 milyon dolarlık yatırım yaptıktan sonra 67 yıl gibi bir zaman harcaması gerekir. Bu örnekten anlaşıldığı gibi SSL güvenlik sistemi tam ve kesin bir koruma sağlar.

SET (Secure Electronic Transactions)

SET banka kartları ve ödemeler ile ilgili bilgilerin güvenliğini sağlamak amacıyla Visa, Mastercard, Microsoft, Netscape, GTE, IBM, SAIC, Terisa Systems ve Verisign'ın katılımıyla oluşan bir konsorsiyum tarafından geliştirilmiştir. SET uyumlu ilk alışveriş, 18 Temmuz 1997'de San Francisco'da yapılan tanıtımla İspanya ve Singapur'da bulunan sanal mağazalardan gerçekleştirilmiştir. Garanti Bankası Şubat 1998'de gerçekleştirdiği SET uyumlu alışverişle, bu protokolü kullanmaya başlayan Dünya'da yedinci, Avrupa'da dördüncü ve Türkiye'de ilk kuruluş olmuştur.

SET protokolünde alışveriş, sanal cüzdan ve sertifika aracılığı ile daha güvenli bir ortamda gerçekleştirilir. SET, alışveriş işlemi sırasında ödeme bilgisi gizliliğini, kart kullanıcısının gerçek kart sahibi olduğunu ve işyerinin banka ile anlaşmalı bir işyeri olduğunu garantiler.SET sisteminde provizyon işlemi müşteri alışveriş seçimini yaptıktan sonra müşterinin sanal cüzdanı ile mağazanın Sanal POS'unun (V-POS) birbirlerinin gerçekliklerini dijital sertifikalar aracılığıyla kontrol etmeleri ile başlar. Mağazanın Sanal POS yazılımı sipariş tutarını ve sanal cüzdanda bulunan ve alışveriş için seçilen kredi kartının sertifika bilgilerini bankaya iletmesi ile devam eder. Banka yapılan alışverişin içeriğini (malın ne olduğu, kaç tane alındığı vb.) görmeksizin provizyon verir. Müşterinin kredi kartı bilgilerini görmeyen sanal mağaza ise bankadan gelecek onayı bekler. Onay aldıktan sonra da ürünü alıcısına gönderir.

SET sistemi de SSL'de olduğu gibi kullanıcı, işyeri ve banka arasındaki veri akışı sırasında bilgilerin şifrelenerek gönderilmesi esasına dayanır. Bu sistemden faydalanabilmek için kullanılmak istenen kredi kartının SET uyumlu olması gerekir. SET protokolünü kullanmak isteyen kredi kartı sahipleri iki ön koşulu yerine getirmek zorundadırlar:

Öncelikle kullanmak istedikleri her bir kredi kartı için sertifikasyon kurumu (Certificate Authority) ayrı birer SET sertifikası almalıdırlar. Ardından kart sahipleri yine kredi kartı veren bir bankadan sanal cüzdan adı verilen bir programı alıp bilgisayarlarına yüklemeli ve bu yükleme sırasında SET sertifikalı kredi kartlarını programa tanıtmalıdırlar. SET uyumlu alışverişler sanal cüzdanın yüklü olduğu bilgisayar kullanılarak SET uyumlu mağazalardan yapılabilecektir. Sanal cüzdan programı en fazla üç kez yüklenmek üzere yazıldığından en fazla üç bilgisayarda kullanılabilecektir. SET protokolünün SSL'e göre çok daha yüksek denebilecek güvenliğine rağmen yeterince yaygınlaşamaması sanal cüzdanın mobilitesinin olmamasına bağlanabilir. Bu yüzden Garanti Bankası sistemi SET uyumlu olmasına karşın SET protokolünü tam olarak uygulamamaktadır.

Sanal mağazalar ise Sanal POS (Point of Sale) olarak adlandırılan V-POS yazılımını yükledikten sonra bir sertifikasyon kurumundan (www.verisign.com, www.gte.com) dijital bir sertifika alarak alışverişlerin güvenliğini sağlarlar.

SET ile gerçekleşen alışveriş sırasında gerçekleşen işlemler sırasıyla aşağıdaki gibidir:

SET protokolü, kart sahibi Internet üzerinde araştırmasını tamamlayıp seçimini yaptıktan ve siparişini verdikten sonra devreye girmektedir. SET işleminin başlamasından önce kart sahibi sipariş formunu doldurmuş ve onaylamış olmalıdır. Kart sahibi ayrıca kart türünü de seçmiş olmalıdır.

1. Kart sahibinin yazılımı satıcı firmaya kullanılacak kredi kartını belirten ve ödeme altyapısını sağlayan kuruluşun sertifikalı açık anahtarının kopyasını isteyen bir mesaj gönderir.

2. Satıcı firmanın yazılımı mesajı aldığında, sadece o mesaja özel bir işlem tanımlama numarası belirler. Daha sonra bu özel tanımlama numarasıyla beraber kart sahibine satıcı firmanın açık anahtarını ve ödeme altyapısını sağlayan kuruluşun (genelde bankalar) onaylı açık anahtarını gönderir.

3. Kart sahibinin yazılımı satıcı firmanın ve ödeme altyapısını sağlayan kuruluşun sertifikalarını kontrol eder ve sipariş sürecinde kullanmak üzere bunları kaydeder. Kart sahibinin yazılımı sipariş bilgisini ve ödeme talimatlarını oluşturur. Yazılım satıcı firma tarafından belirlenen özel tanımlama numarası ile sipariş bilgisini ve ödeme talimatlarını ilişkilendirir. Bu tanımlama daha sonra satıcı firma tarafından ödeme talebi yapıldığında, ödeme altyapısını sağlayan kuruluş tarafından sipariş bilgisini ve ödeme talimatlarını ilişkilendirmede kullanılacaktır.

4. Kart sahibinin yazılımı sipariş bilgisi ve ödeme talimatları için bir dijital imza oluşturur. Yazılım daha sonra ödeme altyapısını sağlayan kuruluşun açık anahtarını kullanarak dijital olarak imzalanan ödeme talimatlarını şifreler. Son olarak yazılım imzalanmış ve şifrelenmiş sipariş bilgisini ve ödeme talimatlarını bir mesajla satıcı firmaya gönderir.

5. Satıcı firmanın yazılımı siparişi alır ve kart sahibinin açık anahtarı üzerindeki dijital sertifikayı kontrol eder. Bundan sonra gene bu açık anahtarı kullanarak siparişin gerçekten kart sahibinden geldiğinden ve mesajın gönderim esnasında değiştirilmediğini teyit eder (Satıcı firma ödeme talimatları ödeme altyapısını sağlayan firmanın açık anahtarı ile şifrelendiği için deşifre edemez).

6. Bu işlemlerin ardından satıcı firmanın yazılımı ödeme onayı istenmesi de dahil olmak üzere siparişle ilgili işlemlere başlar (lütfen 9. Maddeye bakınız)

7. Sipariş bilgisi işleme alındıktan sonra, satıcı firmanın yazılımı bir cevap mesajı hazırlar ve dijital olarak imzalar (satıcı firmanın onaylı açık anahtarı ile). Kart sahibinin siparişinin alındığının ve işleme konulduğunun bildirilmesi amacıyla hazırlanan cevap mesajı kart sahibine gönderilir.

8. Kart sahibinin yazılımı satıcı firmadan cevap mesajını aldığı zaman dijital sertifikasını kontrol eder. Bunun ardından bu mesajı kullanarak kart sahibine bir teyit mesajı gösterir veya siparişin durumunu günceller.

9. Kart sahibinden gelen siparişlerin işleme konulması esnasında (lütfen 6. maddeye bakınız) satıcı firmanın yazılımı ödenmesi talep edilen tutarı, sipariş bilgisindeki işlemi belirleyen özel tanımlama numarasını ve işlemle ilgili diğer bilgileri içeren bir ödeme onay talebini hazırlar ve bu mesajı dijital olarak imzalar. Ardından bu talep ödeme altyapısını sağlayan kuruluşun açık anahtarı kullanılarak şifrelenir. Satıcı firmanın ödeme onay talebi ve kart sahibinin şifrelenmiş ödeme talimatları ödeme altyapısını sağlayan kuruluşa gönderilir.

10. Ödeme altyapısını sağlayan kuruluş onay talebini aldığı zaman satıcı firmadan gelen onay talebini kendi gizli anahtarını kullanarak deşifre eder. Ardından satıcı firmanın açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve sertifikanın geçerlilik sürerisinin dolup dolmadığını belirler.

11. Ödeme altyapısını sağlayan kuruluş kart sahibinin satıcı firmadan gelen onay talebiyle birlikte gönderilen ödeme talimatlarını kart sahibinin açık anahtarını kullanarak deşifre eder. Ardından bu açık anahtarı kullanarak kart sahibinin ödeme talimatları üzerindeki dijital imzasını kontrol eder ve böylece ödeme talimatlarının kart sahibi tarafından imzalandığından ve iletim esnasında değişikliğe uğramadığından emin olur.

12. Ödeme altyapısını sağlayan kuruluş satıcı firma tarafından gönderilen işlem tanımlayıcısı ile ile kart sahibinden gelen ödeme talimatlarındaki tanımları karşılaştırarak her ikisininde aynı olup olmadığını kontrol eder. Kontrolün ardından ödeme altyapısının sağlayan kuruluş, kredi kartını veren bankaya Internet üzerinden çalışmayan bir ödeme sistemiyle bir onay talebi gönderir.

13. Kartı veren banka onay talebini işleme alır ve ödeme altyapısını sağlayan kuruluşa güvenli ödeme sistemi aracılığıyla bir cevap gönderir.

14. Onay cevabını aldıktan sonra ödeme altyapısını sağlayan kuruluş kartı veren bankanın cevabını ve onaylı açık anahtarını içeren bir onay cevap mesajı yaratır ve dijital olarak imzalar. Cevap satıcı firmanın açık anahtarını kullanarak şifrelenir ve satıcı firmaya gönderilir.

15. Satıcı firmanın yazılımı ödeme altyapısını sağlayan kuruluştan onay cevabını aldığı zaman kendi gizli anahtarıyla deşifre eder. Ardından ödeme altyapısını sağlayan kuruluşun açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve bu açık anahtarı kullanarak ödeme alyapısını sağlayan kuruluşun onay cevap mesajındaki dijital imzayı kontrol eder. Satıcı firmanın yazılımı, sipariş tamamen yerine getirildikten sonra ödeme talebinde bulunulabilmesi için (gün sonu işlemi ile) bu onay cevap mesajını kaydeder.

16. Satıcı firma onay cevabını aldıktan sonra kart sahibinin siparişi tamamlar ve ilgili ürünü sevk eder veya sözkonusu hizmeti verir.

17. Siparişi yerine getirdikten sonra satıcı firma ödeme talebinde bulunur (Siparişin tamamlanması esnasındaki gecikmeler onay talebi ile ödeme talebi mesajları arasında önemli zaman aralıkları oluşmasına yol açabilir).

18. Ödeme talebinde bulunmak için satıcı firmanın yazılımı işlemin nihai tutarını, sipariş bilgisindeki işlem tanım numarasını ve işlem hakkındaki diğer bilgileri içeren bir gün sonu işlemi oluşturur ve dijital olarak imzalar. Bu talep ödeme altyapısı sağlayan kuruluşun açık anahtarı ile şifrelenir ve ödeme sağlayan kuruluş gönderilir.

19. Ödeme altyapısını sağlayan kuruluş gün sonu işlemi talebini aldığı zaman, kendi açık anahtarını kullanarak talebi deşifre eder. Daha sonra satıcı firmanın açık anahtarını kullanarak gün sonu işlemindeki dijital imzayı kontrol eder. Satıcı firmadan gelen gün sonu işlemiyle, daha önce işleme alınan onay talebini karşılaştırır ve bir tahsilat talebi oluşturarak bunu kredi kartını veren bankaya güvenli ödeme sistemiyle gönderir.

20. Ödeme altyapısını sağlayan kuruluş kendi onaylı açık anahtarını içeren bir gün sonu cevap mesajı oluşturur ve bunu dijital olarak imzalar. Bu cevap satıcı firmanın açık anahtarı ile şifrelenerek satıcı firmaya gönderilir. Bu mesaj sayesinde gün sonu işleminin ödeme altyapısını sağlayan kuruluş tarafından alındığını ve işleme konulduğunu satıcı firmaya bildirir.

21. Satıcı firmanın yazılımı ödeme altyapısını sağlayan kuruluştan gün sonu işleminin cevabını alınca, mesajı kendi gizli anahtarını kullanarak deşifre eder. Ardından ödeme altyapısını sağlayan kuruluşun açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve yine bu açık anahtarı kullanarak ödeme altyapısını sağlayan kuruluşun dijital imzasını kontrol eder. Son olarak

 

SET (Secure Electronic Transactions)

SET banka kartları ve ödemeler ile ilgili bilgilerin güvenliğini sağlamak amacıyla Visa, Mastercard, Microsoft, Netscape, GTE, IBM, SAIC, Terisa Systems ve Verisign'ın katılımıyla oluşan bir konsorsiyum tarafından geliştirilmiştir. SET uyumlu ilk alışveriş, 18 Temmuz 1997'de San Francisco'da yapılan tanıtımla İspanya ve Singapur'da bulunan sanal mağazalardan gerçekleştirilmiştir. Garanti Bankası Şubat 1998'de gerçekleştirdiği SET uyumlu alışverişle, bu protokolü kullanmaya başlayan Dünya'da yedinci, Avrupa'da dördüncü ve Türkiye'de ilk kuruluş olmuştur.

SET protokolünde alışveriş, sanal cüzdan ve sertifika aracılığı ile daha güvenli bir ortamda gerçekleştirilir. SET, alışveriş işlemi sırasında ödeme bilgisi gizliliğini, kart kullanıcısının gerçek kart sahibi olduğunu ve işyerinin banka ile anlaşmalı bir işyeri olduğunu garantiler.SET sisteminde provizyon işlemi müşteri alışveriş seçimini yaptıktan sonra müşterinin sanal cüzdanı ile mağazanın Sanal POS'unun (V-POS) birbirlerinin gerçekliklerini dijital sertifikalar aracılığıyla kontrol etmeleri ile başlar. Mağazanın Sanal POS yazılımı sipariş tutarını ve sanal cüzdanda bulunan ve alışveriş için seçilen kredi kartının sertifika bilgilerini bankaya iletmesi ile devam eder. Banka yapılan alışverişin içeriğini (malın ne olduğu, kaç tane alındığı vb.) görmeksizin provizyon verir. Müşterinin kredi kartı bilgilerini görmeyen sanal mağaza ise bankadan gelecek onayı bekler. Onayı aldıktan sonra da ürünü alıcısına gönderir.

SET sistemi de SSL'de olduğu gibi kullanıcı, işyeri ve banka arasındaki veri akışı sırasında bilgilerin şifrelenerek gönderilmesi esasına dayanır. Bu sistemden faydalanabilmek için kullanılmak istenen kredi kartının SET uyumlu olması gerekir. SET protokolünü kullanmak isteyen kredi kartı sahipleri iki ön koşulu yerine getirmek zorundadırlar:

Öncelikle kullanmak istedikleri her bir kredi kartı için sertifikasyon kurumu (Certificate Authority) ayrı birer SET sertifikası almalıdırlar. Ardından kart sahipleri yine kredi kartı veren bir bankadan sanal cüzdan adı verilen bir programı alıp bilgisayarlarına yüklemeli ve bu yükleme sırasında SET sertifikalı kredi kartlarını programa tanıtmalıdırlar. SET uyumlu alışverişler sanal cüzdanın yüklü olduğu bilgisayar kullanılarak SET uyumlu mağazalardan yapılabilecektir. Sanal cüzdan programı en fazla üç kez yüklenmek üzere yazıldığından en fazla üç bilgisayarda kullanılabilecektir. SET protokolünün SSL'e göre çok daha yüksek denebilecek güvenliğine rağmen yeterince yaygınlaşamaması sanal cüzdanın mobilitesinin olmamasına bağlanabilir. Bu yüzden Garanti Bankası sistemi SET uyumlu olmasına karşın SET protokolünü tam olarak uygulamamaktadır.

Sanal mağazalar ise Sanal POS (Point of Sale) olarak adlandırılan V-POS yazılımını yükledikten sonra bir sertifikasyon kurumundan (www.verisign.com, www.gte.com) dijital bir sertifika alarak alışverişlerin güvenliğini sağlarlar.

SET ile gerçekleşen alışveriş sırasında gerçekleşen işlemler sırasıyla aşağıdaki gibidir:

SET protokolü, kart sahibi Internet üzerinde araştırmasını tamamlayıp seçimini yaptıktan ve siparişini verdikten sonra devreye girmektedir. SET işleminin başlamasından önce kart sahibi sipariş formunu doldurmuş ve onaylamış olmalıdır. Kart sahibi ayrıca kart türünü de seçmiş olmalıdır.

1. Kart sahibinin yazılımı satıcı firmaya kullanılacak kredi kartını belirten ve ödeme altyapısını sağlayan kuruluşun sertifikalı açık anahtarının kopyasını isteyen bir mesaj gönderir.

2. Satıcı firmanın yazılımı mesajı aldığında, sadece o mesaja özel bir işlem tanımlama numarası belirler. Daha sonra bu özel tanımlama numarasıyla beraber kart sahibine satıcı firmanın açık anahtarını ve ödeme altyapısını sağlayan kuruluşun (genelde bankalar) onaylı açık anahtarını gönderir.

3. Kart sahibinin yazılımı satıcı firmanın ve ödeme altyapısını sağlayan kuruluşun sertifikalarını kontrol eder ve sipariş sürecinde kullanmak üzere bunları kaydeder. Kart sahibinin yazılımı sipariş bilgisini ve ödeme talimatlarını oluşturur. Yazılım satıcı firma tarafından belirlenen özel tanımlama numarası ile sipariş bilgisini ve ödeme talimatlarını ilişkilendirir. Bu tanımlama daha sonra satıcı firma tarafından ödeme talebi yapıldığında, ödeme altyapısını sağlayan kuruluş tarafından sipariş bilgisini ve ödeme talimatlarını ilişkilendirmede kullanılacaktır.

4. Kart sahibinin yazılımı sipariş bilgisi ve ödeme talimatları için bir dijital imza oluşturur. Yazılım daha sonra ödeme altyapısını sağlayan kuruluşun açık anahtarını kullanarak dijital olarak imzalanan ödeme talimatlarını şifreler. Son olarak yazılım imzalanmış ve şifrelenmiş sipariş bilgisini ve ödeme talimatlarını bir mesajla satıcı firmaya gönderir.

5. Satıcı firmanın yazılımı siparişi alır ve kart sahibinin açık anahtarı üzerindeki dijital sertifikayı kontrol eder. Bundan sonra gene bu açık anahtarı kullanarak siparişin gerçekten kart sahibinden geldiğinden ve mesajın gönderim esnasında değiştirilmediğini teyit eder (Satıcı firma ödeme talimatları ödeme altyapısını sağlayan firmanın açık anahtarı ile şifrelendiği için deşifre edemez).

6. Bu işlemlerin ardından satıcı firmanın yazılımı ödeme onayı istenmesi de dahil olmak üzere siparişle ilgili işlemlere başlar (lütfen 9. Maddeye bakınız)

7. Sipariş bilgisi işleme alındıktan sonra, satıcı firmanın yazılımı bir cevap mesajı hazırlar ve dijital olarak imzalar (satıcı firmanın onaylı açık anahtarı ile). Kart sahibinin siparişinin alındığının ve işleme konulduğunun bildirilmesi amacıyla hazırlanan cevap mesajı kart sahibine gönderilir.

8. Kart sahibinin yazılımı satıcı firmadan cevap mesajını aldığı zaman dijital sertifikasını kontrol eder. Bunun ardından bu mesajı kullanarak kart sahibine bir teyit mesajı gösterir veya siparişin durumunu günceller.

9. Kart sahibinden gelen siparişlerin işleme konulması esnasında (lütfen 6. maddeye bakınız) satıcı firmanın yazılımı ödenmesi talep edilen tutarı, sipariş bilgisindeki işlemi belirleyen özel tanımlama numarasını ve işlemle ilgili diğer bilgileri içeren bir ödeme onay talebini hazırlar ve bu mesajı dijital olarak imzalar. Ardından bu talep ödeme altyapısını sağlayan kuruluşun açık anahtarı kullanılarak şifrelenir. Satıcı firmanın ödeme onay talebi ve kart sahibinin şifrelenmiş ödeme talimatları ödeme altyapısını sağlayan kuruluşa gönderilir.

10. Ödeme altyapısını sağlayan kuruluş onay talebini aldığı zaman satıcı firmadan gelen onay talebini kendi gizli anahtarını kullanarak deşifre eder. Ardından satıcı firmanın açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve sertifikanın geçerlilik sürerisinin dolup dolmadığını belirler.

11. Ödeme altyapısını sağlayan kuruluş kart sahibinin satıcı firmadan gelen onay talebiyle birlikte gönderilen ödeme talimatlarını kart sahibinin açık anahtarını kullanarak deşifre eder. Ardından bu açık anahtarı kullanarak kart sahibinin ödeme talimatları üzerindeki dijital imzasını kontrol eder ve böylece ödeme talimatlarının kart sahibi tarafından imzalandığından ve iletim esnasında değişikliğe uğramadığından emin olur.

12. Ödeme altyapısını sağlayan kuruluş satıcı firma tarafından gönderilen işlem tanımlayıcısı ile kart sahibinden gelen ödeme talimatlarındaki tanımları karşılaştırarak her ikisininde aynı olup olmadığını kontrol eder. Kontrolün ardından ödeme altyapısının sağlayan kuruluş, kredi kartını veren bankaya Internet üzerinden çalışmayan bir ödeme sistemiyle bir onay talebi gönderir.

13. Kartı veren banka onay talebini işleme alır ve ödeme altyapısını sağlayan kuruluşa güvenli ödeme sistemi aracılığıyla bir cevap gönderir.

14. Onay cevabını aldıktan sonra ödeme altyapısını sağlayan kuruluş kartı veren bankanın cevabını ve onaylı açık anahtarını içeren bir onay cevap mesajı yaratır ve dijital olarak imzalar. Cevap satıcı firmanın açık anahtarını kullanarak şifrelenir ve satıcı firmaya gönderilir.

15. Satıcı firmanın yazılımı ödeme altyapısını sağlayan kuruluştan onay cevabını aldığı zaman kendi gizli anahtarıyla deşifre eder. Ardından ödeme altyapısını sağlayan kuruluşun açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve bu açık anahtarı kullanarak ödeme alyapısını sağlayan kuruluşun onay cevap mesajındaki dijital imzayı kontrol eder. Satıcı firmanın yazılımı, sipariş tamamen yerine getirildikten sonra ödeme talebinde bulunulabilmesi için (gün sonu işlemi ile) bu onay cevap mesajını kaydeder.

16. Satıcı firma onay cevabını aldıktan sonra kart sahibinin siparişi tamamlar ve ilgili ürünü sevk eder veya sözkonusu hizmeti verir.

17. Siparişi yerine getirdikten sonra satıcı firma ödeme talebinde bulunur (Siparişin tamamlanması esnasındaki gecikmeler onay talebi ile ödeme talebi mesajları arasında önemli zaman aralıkları oluşmasına yol açabilir).

18. Ödeme talebinde bulunmak için satıcı firmanın yazılımı işlemin nihai tutarını, sipariş bilgisindeki işlem tanım numarasını ve işlem hakkındaki diğer bilgileri içeren bir gün sonu işlemi oluşturur ve dijital olarak imzalar. Bu talep ödeme altyapısı sağlayan kuruluşun açık anahtarı ile şifrelenir ve ödeme sağlayan kuruluş gönderilir.

19. Ödeme altyapısını sağlayan kuruluş gün sonu işlemi talebini aldığı zaman, kendi açık anahtarını kullanarak talebi deşifre eder. Daha sonra satıcı firmanın açık anahtarını kullanarak gün sonu işlemindeki dijital imzayı kontrol eder. Satıcı firmadan gelen gün sonu işlemiyle, daha önce işleme alınan onay talebini karşılaştırır ve bir tahsilat talebi oluşturarak bunu kredi kartını veren bankaya güvenli ödeme sistemiyle gönderir.

20. Ödeme altyapısını sağlayan kuruluş kendi onaylı açık anahtarını içeren bir gün sonu cevap mesajı oluşturur ve bunu dijital olarak imzalar. Bu cevap satıcı firmanın açık anahtarı ile şifrelenerek satıcı firmaya gönderilir. Bu mesaj sayesinde gün sonu işleminin ödeme altyapısını sağlayan kuruluş tarafından alındığını ve işleme konulduğunu satıcı firmaya bildirir.

21. Satıcı firmanın yazılımı ödeme altyapısını sağlayan kuruluştan gün sonu işleminin cevabını alınca, mesajı kendi gizli anahtarını kullanarak deşifre eder. Ardından ödeme altyapısını sağlayan kuruluşun açık anahtarı üzerindeki dijital sertifikayı kontrol eder ve yine bu açık anahtarı kullanarak ödeme altyapısını sağlayan kuruluşun dijital imzasını kontrol eder. Son olarak satıcı firmanın yazılımı gün sonu işlemi cevabını yapılan ödemeler için gönderilen gün sonu talep mesajları ile mutabakat için kaydeder.