Cüzdan sağlayıcı uygulama bildirgesi

1. Bu bildirge ne

Tamga Wallet uygulaması bir cüzdan sağlayıcıya kayıtlıdır. Sağlayıcı, kurumlar belge verirken cüzdanın gerçek bir Tamga Wallet olduğunu ve belge anahtarlarının nerede saklandığını kanıtlayan kısa ömürlü cüzdan kanıtları verir ve bu kanıtların iptal listelerini yayınlar. Bu sayfa, Avrupa standardı ETSI TS 119 471'in istediği herkese açık uygulama bildirgesidir: sağlayıcının neyi nasıl yaptığını, neyi yapmadığını ve henüz neyi eksik yaptığını yazar.

• Sağlayıcı Tamga Network'ün güven listelerinde kayıtlıdır ve Tamga Network'ün kurallarına (Tamga ARF, cüzdan kanıtı politikası) uyar. Tamga Wallet, Tamga Network'ün parçası değildir; sağlayıcıyı Tamga Wallet işletir.
• Sağlayıcı ve cüzdan sertifikalı değildir (AB sertifikasyonu yok). Bu bildirge bir sertifika ya da "AB onayı" iddiası değildir.
• Kişisel verilerin nasıl işlendiği gizlilik politikasında, kullanım şartları kullanım koşullarında yazar.

2. Sağlayıcı

3. Ne veriyoruz: cüzdan kanıtları

• Biçim: imzalı JWT (ES256), Avrupa'nın cüzdan kanıtı teknik şartnamesine ve Tamga Network'ün cüzdan kanıtı politikasına göre. Kanıtı yalnız kanıta bağlı anahtarın sahibi kullanabilir (anahtar sahipliği kanıtı).
• İzlenemezlik: her işlemde yeni anahtar ve yeni iptal girişi kullanıldığı için kurumlar aynı cüzdanın iki işlemini kanıtlardan birbirine bağlayamaz. Sağlayıcı, hangi iptal girişinin hangi cüzdana ait olduğunu hiçbir kuruma ve doğrulayıcıya vermez; cüzdanın hangi kurumlarla konuştuğunu da öğrenmez.
• Anahtar seviyesi dürüsttür: cihaz kanıtı doğrulanmadıkça seviye "yazılım"dır ve KA bunu iso_18045_basic diye söyler. Telefonun kendi beyanı dikkate alınmaz.
• İptal bakım süresi: WIA'daki client_status.exp ve KA'daki key_storage_status.exp olağan 60 gün; belge veren kurum daha uzun süre isterse en çok 730 gün (en az 31 gün). Sağlayıcı iptal listelerini bu süre boyunca yayınlamayı üstlenir.
• Kötüye kullanıma karşı cüzdan başına günlük sınır: en çok 50 WIA ve 200 KA (UTC günü).

4. Cüzdan kaydı ve cihaz kanıtı

• Uygulama kurulurken rastgele bir cüzdan birimi anahtarı üretir ve sağlayıcıya bu anahtarla imzalı bir kayıt gönderir. Hesap, ad, telefon, e-posta ya da cihaz kimliği istenmez.
• Cihaz kanıtı: Android'de Google'ın donanım anahtar kanıtı (kök sertifikalar ve Google'ın iptal listesi; liste en geç 24 saatte bir yenilenir), iPhone'da Apple App Attest. Play Integrity isteğe bağlıdır (bugün zorunlu değil). Doğrulanan yalnız sonuçtur (anahtarlar güvenli çipte mi); cihaz kimliği tutulmaz.
• Yalnız donanım: sağlayıcı yalnız cihaz kanıtı doğrulanmış (anahtarları güvenli donanımda olan) cüzdana WIA verir. Kanıtı olmayan telefon kaydolur ama belge alamaz. iPhone desteği Apple geliştirici kaydı tamamlanınca açılır; o zamana kadar iPhone kaydı "iOS henüz desteklenmiyor" yanıtı alır.
• Kullanım koşullarının kabulü: koşullar cüzdan kurulmadan önce uygulamada gösterilir ve kişi açık bir eylemle kabul eder. Kanıt kişisel verisizdir: telefonda kabul edilen sürüm ve zaman, sağlayıcıda cüzdan kaydına yazılan sürüm ve kayıt zamanı. Bu kayıt cüzdan kaydıyla birlikte tutulur ve onunla birlikte silinir.
• Güvenlik sinyalleri: günlük WIA yenilemesinde uygulama sürümü, işletim sistemi ana sürümü, Android yama ayı ve bütünlük sonucu gönderilir. Desteklenen en düşük sürümün altındaki uygulamaya WIA verilmez ("Güncelle"). Bütünlük 24 saatte iki kez kritik çıkarsa cüzdan bir kişinin incelemesine düşer; otomatik iptal yoktur.

5. Anahtarlar

• Sağlayıcının tek imza anahtarı vardır: ES256 (P-256). Yalnız WIA'ları, KA'ları ve sağlayıcının kendi iptal listelerini imzalar; başka iş için kullanılmaz.
• Anahtar sunucu kurulurken sunucuda üretildi. Sertifikası ETSI TS 119 412-6 profilindedir (konuda kuruluş tanımlayıcısı VATTR-1870632151, cüzdan sağlayıcı türü) ve 3 yıl geçerlidir; sertifika Tamga Network'ün güven listelerinde TAMGA-WP-1 kaydına bağlıdır. Parmak izi sağlayıcı bilgisi sayfasında yayımlanır.
• Anahtar bugün sunucuda, yalnız sağlayıcı servisinin okuyabildiği bir dosyadadır; şifreli yedeklerde ve sunucu dışında şifreli bir kopyada durur (§9).
• Bilinen fark (pilottan önce kapanacak): Avrupa standardı imza anahtarının sertifikalı bir donanım güvenlik modülünde (HSM) ya da eşdeğer bir bulut anahtar hizmetinde tutulmasını ve en az iki kişinin bulunduğu, tutanaklı bir anahtar töreninde üretilmesini ister. Tamga Network'ün liste evresinde bu fark izinlidir; gerçek kişilerle pilottan önce anahtar HSM'e ya da sertifikalı anahtar hizmetine taşınır ve tören tutanağı tutulur.
• Anahtar değişimi (süre sonu ya da şüphe) Tamga Network'teki kayıt üzerinden yapılır: yeni sertifika listeye girer, eski anahtar kullanımdan kalkar.

6. İptal

Bir cüzdan iptal edildiğinde sağlayıcı ona yeni WIA vermez ve verdiği bütün WIA girişlerini iptal listesinde "geçersiz" yapar. İptal edilmiş cüzdan yeniden kaydolamaz.

• İptal nedeni kapalı bir listeden seçilir: kişinin isteği · telefonun güvenliği bozuldu · güvenli donanım türünde açık · uygulama sürümünde açık · kimlik düzeninde açık.
• Tarafsızlık: iptal kararı yalnız yukarıdaki güvenlik ölçütlerine dayanır; bir kurumla ya da müşteriyle ticari ilişki kararı etkilemez. Her sağlayıcı kararı kimin verdiği, nedeni ve kapsamıyla iç denetim kaydına yazılır.
• Haber verme: sağlayıcının iptalinden en geç 24 saat içinde, cüzdandan bağımsız olarak — kapatma koduyla açılan Cüzdanımın durumu sayfasında (provider.tamgawallet.com/check) neden, tarih ve yapılacaklar; birden çok cüzdan etkilenirse Güvenlik duyuruları sayfasında. Uygulama da açılınca nedeni gösterir.
• Cüzdanın iptali, kurumların daha önce verdiği belgeleri iptal etmez (Tamga Network'ün kuralı); kurum kendi belgesini kendi kuralına göre iptal eder.

7. İptal listeleri

• WIA listeleri provider.tamgawallet.com/status/wia (ve dolan listenin ardından opak kimlikli yeni listeler, /status/wia/<kimlik>), KA listesi /status/ka. Biçim: IETF Token Status List; liste belirteci her istekte sağlayıcının anahtarıyla imzalanır ve en çok 1 saat önbelleğe alınabilir.
• Her liste en az 100 000 girişlidir (AB alt sınırı 10 000). Etkin liste %80 dolunca mühürlenir ve yeni liste açılır; girişler asla yeniden kullanılmaz. Mühürlü liste, içindeki en uzun bakım süresi + 30 gün geçene kadar yayınlanır, sonra kapanır.
• Listeleri herkes okuyabilir; listeler hangi girişin hangi cüzdana ait olduğunu söylemez.

8. Tuttuğumuz kayıtlar ve süreleri

• IP adresi uygulamaya geçirilmez ve günlüğe yazılmaz. Hız sınırı IP'yi yalnız bellekte tutar. Sunucunun kritik hata günlüğü IP içerebilir; o günlük yaklaşık 24 saatte silinir.
• Sağlayıcı cüzdan verisini başka hiçbir hizmete aktarmaz, satmaz, kurumlarla eşleştirmez.

9. Güvenlik, erişim ve yedek

• Bütün uçlar yalnız TLS ile; sunucuya giriş yalnız 22/80/443, kullanılmayan servisler ve kapılar kapalı. Servis kendi kullanıcısıyla, sıkı bir sistem kafesinde çalışır; iç işletim uçları dışarıya kapalıdır.
• Erişim: sunucuya yalnız SSH anahtarıyla girilir (parolayla giriş kapalı, deneme sınırı ve otomatik engel). İmza anahtarına ulaşabilen ya da kanıt verdirebilen her işletim hesabında çok etkenli kimlik doğrulama zorunludur (sunucu, barındırma, alan adı ve kod hesapları); yetkisiz giriş denemeleri sunucuda kaydedilir.
• Yedek: her gece şifreli (AES-256) yedek; sunucuda 14 gün; haftada en az bir kez sunucu dışında şifreli kopya; yedek anahtarı ayrı yerde. Geri yükleme ayda bir ve anahtar değişince prova edilir. İptal bilgisi yalnız bu kayıtlarla korunabildiği için yedek zorunludur.
• Kullanılan dış hizmetler: barındırma (sunucu, Almanya), alan adı yönetimi, TLS sertifikası (Let's Encrypt), cihaz kanıtı doğrulaması için Apple ve Google'ın kök sertifikaları ve Google'ın anahtar kanıtı iptal listesi; Play Integrity açılırsa Google'ın doğrulama servisi.

10. Olaylar ve açıklar

• Bir güvenlik açığı bulursanız: security@tamgawallet.com. Ayrıntılar Güvenlik sayfasında.
• Kritik bir olay Tamga Network'e (şema sahibi) 4 saat, yüksek önemdeki olay 24 saat içinde bildirilir.
• İmza anahtarı ele geçirilirse: Tamga Network'e bildirilir ve anahtar güven listesinde askıya alınır; etkilenen bütün WIA ve KA girişleri iptal edilir; kişilere cüzdan dışından (Güvenlik duyuruları, Cüzdanımın durumu) haber verilir; yeni anahtarla hizmet yeniden kurulur.
• Uygulamanın bir sürümünde açık bulunursa o sürümün altındaki cüzdanlara WIA verilmez ("Güncelle") ya da gerekirse sürüm aralığı iptal edilir (§6).

11. Bilinen farklar

Avrupa standardı (ETSI TS 119 471) ile bugünkü işleyiş arasındaki farklar açıkça yazılır:

• İmza anahtarı HSM'de değil, tören tutanağı yok — pilottan önce kapanır (§5).
• WIA/KA verme olayları ayrı bir olay günlüğünde tutulmaz: cüzdan kaydında yalnız iptal için gereken WIA girişleri ve IP'siz sunucu günlüğü (14 gün) vardır.
• Hizmeti bugün küçük bir ekip işletir; görev ayrılığı ve güvenilir roller pilottan önce yazılı hâle getirilir; yazılı risk değerlendirmesi ve bilgi güvenliği politikası hazırlanıyor.
• KA iptali anahtar deposu türü başına ortak giriştir (anahtar başına değil).
• Sağlayıcı ve uygulama sertifikalı değildir.

12. Hizmet sona ererse

Tamga Wallet sağlayıcıyı kapatmaya karar verirse yazılı sonlandırma planı uygulanır:

1. Önceden haber: kapanıştan en az 3 ay önce Tamga Network'e ve belge veren kurumlara bildirilir; kişilere sitede güvenlik duyurusu ve sayfa bandıyla duyurulur (1 ay ve 1 hafta kala hatırlatma). Uygulama kapanıştan 1 ay önce mağazalardan kaldırılır.
2. Kapanış günü: yeni kayıt, WIA ve KA durur; bütün etkin cüzdanlar iptal edilir (duyuruyla). Telefondaki belgeler silinmez ve süreleri boyunca gösterilebilir; yeni belge alınamaz. Belgelerinizi kurumlardan başka bir AB uyumlu cüzdana yeniden alabilirsiniz; uygulamanın taşıma dosyası hangi belgenin hangi kurumdan alınacağını listeler.
3. Listeler sürer: iptal listeleri, verilmiş son kanıtın bakım süresi (en çok 730 gün) + 30 gün bitene kadar yayınlanır ya da Tamga Network'ün onayıyla bir haleflere devredilir. Son hâl: bütün WIA girişleri iptal; anahtar türü girişleri değişmez.
4. Veri silme: hata raporları ve toplu sayımlar kapanış günü; cüzdan kayıtları kapanıştan 30 gün sonra; iptal izleri ve listeler liste yayını bitince silinir. İmza anahtarı ve bütün kopyaları liste yayını bitince tutanakla imha edilir.

13. Değişiklikler

Bildirge sağlayıcının işleyişi değiştiğinde güncellenir; sürüm ve tarih bu sayfanın üstünde yazar. Kişileri etkileyen önemli değişiklikler sitede duyurulur.