Adli Bilişim (Digital Forensics) Süreçlerinde Dosya Özeti ve MD5'in Rolü

Suç mahallerinden parmak izi toplayan dedektifleri filmlerde sıkça görmüşsünüzdür. Peki, suç mahalli dijital bir ortam (bir bilgisayar, bir sunucu veya bir akıllı telefon) olduğunda "parmak izi" nasıl alınır? Bir sabit diskteki verilerin, mahkemeye sunulana kadar geçen süreçte polis veya uzmanlar tarafından kazara veya kasıtlı olarak değiştirilmediği yasal olarak nasıl kanıtlanır?

İşte bu sorunun cevabı, kriptografik özet fonksiyonlarıdır (Hash Functions). Özellikle MD5 ve SHA algoritmaları, adli bilişim (digital forensics) dünyasının temel taşlarıdır. Bu makalede, MD5 algoritmasının hukuki süreçlerdeki rolünü, Chain of Custody (Delil Zinciri) kavramını ve encoding (kodlama) farklılıklarının adli analizdeki önemini gerçekçi vaka analizleriyle inceleyeceğiz.

Farklı metinlerin ve kodlama varsayımlarının (UTF-8, Düz Metin) hash sonuçlarını görmek için MD5 Şifreleme/Çözme aracımızı kullanabilirsiniz.

Adli Bilişimde "Hash" Neden Zorunludur?

Bir şüphelinin bilgisayarına el konulduğunda, adli bilişim uzmanları asla doğrudan orijinal bilgisayarı açıp (boot edip) dosyaları incelemezler. Bilgisayarı normal yollarla açmak bile işletim sisteminin arka planda yüzlerce dosyayı değiştirmesine (log dosyalarının güncellenmesi, geçici dosyaların silinmesi) neden olur. Bu durum, delilin "orijinalliğini" bozduğu için mahkemede davanın düşmesine sebep olabilir.

Standart Prosedür Şöyledir:

1. Orijinal depolama birimi (Hard Disk, SSD, USB) fiziksel olarak kopyalama cihazına (Write Blocker - yazma koruyucu) bağlanır.
2. Cihaz üzerinden diskin birebir "bit-by-bit" (sektör bazlı) imajı (kopyası) alınır.
3. En Önemli Adım: Kopyalama bittiği saniye, hem orijinal diskin hem de alınan imaj dosyasının MD5 veya SHA-1 hash değerleri hesaplanır.
4. İki hash değeri tutanak altına alınır. İncelemeler sadece kopya imaj üzerinde yapılır.

Mahkemede savunma avukatı, "Polis kopyalama yaparken müvekkilimin dosyalarına suçlayıcı sahte belgeler eklemiştir!" itirazında bulunduğunda, uzman raporundaki MD5 hash değerleri gösterilir. Kopyanın MD5 değeri orijinal diskin MD5 değeriyle birebir eşleşiyorsa, veriye tek bir bit dahi eklenmediği/silinmediği matematiksel olarak kesinleşir.

Vaka Analizi: Değiştirilen (Tahrif Edilen) Metin Belgesi

Adli bilişimde "Avalanche Effect" (Çığ Etkisi) konseptinin neden bu kadar kritik olduğunu bir örnekle anlatalım.

Bir zimmete para geçirme davasında, şirketin sunucusunda talimat.txt isimli bir dosya bulunuyor. Bu dosyanın içinde şu metin yazılı (Düz metin kodlaması):

• Orijinal Belge İçeriği: Odeme hesaba gecirilecek.
• Orijinal Belge MD5 Hash'i: c5e5d3c8a9f0e1b2... (Örnek değer)

Kötü niyetli bir çalışan veya manipülatör, belgeyi açıp sadece bir harfi değiştiriyor:

• Manipüle Edilmiş Belge: Odeme hesaba gecikilecek. (r harfi, k harfi yapıldı).

Sadece tek bir byte (harf) değiştiği için dosya boyutu (örneğin 26 byte) tamamen aynı kalır. Windows Explorer (Dosya Gezgini) üzerinde dosyanın değiştirilme tarihi bile özel yazılımlarla (timestomping) eski haline getirilebilir. Yani dışarıdan bakıldığında hiçbir değişiklik yok gibidir.

Ancak, dosyanın hash'i alındığında:

• Manipüle Belge MD5 Hash'i: 8f14e45fceea167a... (Tamamen farklı bir 32 karakterlik çıktı).

Adli bilişim uzmanı, sistemdeki yedeklerde bulunan orijinal dosyanın MD5'i ile güncel dosyanın MD5'ini karşılaştırdığında, dosyanın boyut ve tarihine bakılmaksızın kesin olarak değiştirildiğini ispatlar.

Encoding (Kodlama) Farklılıklarının Adli Analizdeki Önemi

Adli analiz sırasında sadece metin içeriği değil, metnin diske hangi formatta yazıldığı (Encoding) da çok önemlidir. Aynı karakterler, farklı kodlama standartlarında diskte farklı "byte" (0 ve 1) dizilimleriyle ifade edilirler. Bu durum, aynı metne sahip iki dosyanın tamamen farklı MD5 hash'leri üretmesine neden olur.

MD5 Şifreleme/Çözme aracımızdaki "Kodlama varsayımı" (Encoding) seçeneği tam olarak bunu simüle eder.

Örneğin, içinde sadece Şifre: 123 (Ş harfi özel karakterdir) yazan bir şifre dosyası bulunduğunu varsayalım.

1. Eğer bu dosya modern bir Windows/Linux sistemde oluşturulduysa, muhtemelen UTF-8 formatındadır. Aracımızda bu metni "UTF-8" seçerek hesaplarsanız bir X hash değeri elde edersiniz.
2. Eğer bu dosya çok eski (legacy) bir sistemde veya özel karakterleri farklı yorumlayan düz bir ASCII formatında (aracımızdaki Düz Metin/Plain) kaydedildiyse, diskteki byte dizilimi farklı olacağı için elde edilecek MD5 hash'i tamamen farklı (Y hash değeri) olacaktır.

Adli uzmanlar, veritabanlarından çıkarılan (dump edilen) verilerin veya şifreli disk bölümlerinin hash analizini yaparken, hedefin hangi encoding yapısını kullandığını doğru bilmek zorundadır. Aksi takdirde, veritabanındaki hash ile kendi araçlarında ürettikleri hash birbirini tutmaz ve delil doğrulanamaz.

MD5 Çarpışmaları (Collisions) Adli Süreci Etkiler mi?

Daha önceki yazılarımızda MD5'in çarpışma (kasıtlı olarak aynı hash'i veren iki farklı dosya oluşturma) zafiyetine sahip olduğunu belirtmiştik. Bu durum, "Eğer MD5 kırıksa, mahkemede delil olarak nasıl geçerli sayılıyor?" sorusunu akla getirir.

Bunun cevabı şudur: Bir MD5 çarpışması oluşturmak için, saldıran kişinin dosyanın içine binlerce "anlamsız" (garbage) byte eklemesi gerekir (bu byte'lar hash algoritmasını kandırmak içindir). Oysa adli imajlar genellikle gigabaytlarca, hatta terabaytlarca büyüklüktedir. Orijinal bir hard diskin tamamıyla aynı MD5'i verecek, ama içeriğinde mantıklı (anlamlı) suç unsurları barındıran sahte bir "hard disk imajı" (örneğin 500 GB) üretmek, bugünün teknolojisiyle pratik ve matematiksel olarak mümkün değildir.

Yine de, modern adli bilişim standartları (NIST veya INTERPOL yönergeleri), her ihtimale karşı "Dual Hashing" (Çift Hash) kullanımını zorunlu tutar. Yani bir imaj alınırken, aynı anda hem MD5 hem de SHA-1 (veya SHA-256) hash'leri birlikte hesaplanıp tutanak altına alınır. İki farklı algoritmayı aynı anda kandıran bir çarpışma bulmak imkansızdır.

Sonuç

Dijital dünyada hiçbir veriye (tarihlere, boyutlara, isimlere) güvenemezsiniz; güvenebileceğiniz tek şey matematiktir. Kriptografik hash fonksiyonları, adli bilişim süreçlerinin sarsılmaz temelidir. MD5, yaşına ve bilinen zafiyetlerine rağmen, hızı ve endüstri standardı geçmişi nedeniyle dijital olay yeri incelemelerinde vazgeçilmez bir araç olmaya devam etmektedir.

Kendi metinlerinizin dijital parmak izini çıkarmak, UTF-8 ile düz metin arasındaki hash farklılıklarını test etmek için MD5 Şifreleme/Çözme aracımızı kullanabilirsiniz. Unutmayın; elde edeceğiniz 32 karakterlik o küçük metin dizisi, bir mahkeme salonunda davanın kaderini belirleyecek kadar güçlü bir dijital tanıktır.