Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Belge gazeteciliğinde meta veri analizi, dijital belgelerin (özellikle PDF, görüntü ve ofis dosyaları) içeriğinden bağımsız olarak, dosya yapısına gömülü “verinin verisi”ni sistematik olarak çıkarma, yorumlama ve kanıt değerlendirmesi sürecidir. Ontolojik olarak bu disiplin, bir belgenin orijinalliğini (provenance), bütünlüğünü (integrity) ve yaşam döngüsünü (lifecycle) kanıtlamayı hedefler. Metodolojik çerçeve, dosya sistem meta verileri (MAC zaman damgaları), uygulama katmanı meta verileri (PDF Info Dictionary, XMP paketleri) ve gömülü nesne meta verileri (EXIF, ICC profilleri) üçlü ayrımına dayanır. Temel parametreler; yazılım imzaları (Producer/Creator), zaman tutarlılığı (CreationDate vs ModDate), font gömme durumları, artık veri (incremental updates) ve şifreleme/izin bayraklarıdır. Bu yaklaşım, belgeyi statik bir kayıttan dinamik bir süreç kanıtına dönüştürerek, sahtecilik tespitinde, kaynak korumada ve jeopolitik istihbarat analizlerinde ilk derece delil niteliği kazandırır.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Mekanizma, dosya formatı spesifikasyonlarının (ISO 32000-1/2 for PDF, Exif 2.31 for JPEG/TIFF) zorunlu ve opsiyonel alanlarına dayanır. PDF yapısında, nesne tabanlı (object-based) mimari, her güncellemenin (incremental update) dosya sonuna eklenmesini ve önceki hallerin “artık veri” (residual data) olarak kalmasını sağlar; bu, belgenin kronolojik stratigrafisini oluşturur. EXIF verileri ise görüntü sensörü, optik sistem ve yazılım işlem hattı (ISP) tarafından yazılan deterministik etiketlerdir. Sebep-sonuç ilişkisi şöyledir: Bir belge oluşturulduğunda (Cause), yazılım (LibreOffice, Adobe Acrobat, pdftk) kendine ait benzersiz imzaları (Producer/Creator ID, UUID) ve zaman damgalarını yazar (Effect). Sonraki bir düzenleme, orijinal nesneleri silmez, sadece yeni bir çapraz referans tablosu (xref) ve trailer ekler. Dijital parmak izi (hash: SHA-256, ssdeep) dosya bayt diziliminin kimlik kartıdır; tek bitlik değişiklik avalanş etkisiyle hash’i değiştirir. Bu fiziksel yazılım gerçekliği, analizcinin “belge ne zaman, hangi araçla, kim tarafından ve kaç kere değiştirildi?” sorusuna bilimsel cevap vermesini sağlar.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Analiz, NIST SP 800-86 (Guide to Integrating Forensic Techniques into Incident Response) ve ISO/IEC 27037 (Identification, collection, acquisition, and preservation of digital evidence) standartlarına uygun “Salt Okunur” (Read-Only) imaj alma ile başlar (FTK Imager, dd/ewf). PDF spesifik analizde PDF Association standartları (PDF/A-1/2/3 uyumluluk, PDF/UA) referans alınır. Protokol dört aşamadır: 1) Hash Doğrulama (SHA-256/MD5) ile bütünlük kilidi. 2) Statik Çıkarım: pdfinfo, exiftool, pdf-parser.py (Didier Stevens) ile Info Dict, XMP (RDF/XML), ID Tuple (/ID array), sayfa nesneleri (/Resources, /Annots) ve artık akışlar (stream) dökümü. 3) Dinamik/Strüktürel Analiz: pdfid.py ile JavaScript (/JS, /JavaScript), Launch Action, EmbeddedFiles, ObjStm risk vektörleri taraması. 4) Korelasyon ve Zaman Çizelgesi: Dosya sistemi zaman damgaları (MACE), PDF içi CreationDate/ModDate (D:YYYYMMDDHHmmSSOHH’mm’ formatı), XMP xmp:CreateDate/xmp:ModifyDate ve EXIF DateTimeOriginal arası tutarlılık matrisi oluşturma. Kanıt zinciri (Chain of Custody) için her adım loglanmalı ve hash’lenmelidir.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| Dosya Bütünlüğü (Hash) | SHA-256 / SHA-3-256 | Hex Digest Eşleşmesi | Kanıt kabul edilebilirliğinin ön koşulu; manipülasyon tespiti. |
| PDF Kimlik Dizisi (/ID) | İki 16-byte’lık MD5 dizisi (Permanent / Changing) | UUID Benzersizliği / Değişim Sayısı | Belgenin köken takibi; “Changing ID” sayısı revizyon sayısını verir. |
| Zaman Damgası Tutarlılığı | CreationDate ≤ ModDate (PDF) ≡ File System MACE ≡ XMP/EXIF | Saniye/ Dakika Hassasiyetinde Delta (Δt) | Sahte zaman damgası (backdating) ve araç değiştirme (tool switching) tespiti. |
| Yazılım İmzası (Producer/Creator) | Uygulama Adı / Sürüm / Kütüphane (örn. iText 7.1.16, Ghostscript 9.55) | Veritabanı Eşleşmesi (NSRL / TrID) | Yazar profilleme, kurumsal sızıntı kaynağı belirleme, sahte araç claim’i kırma. |
| Artık Veri / Incremental Updates | Güncelleme Sayısı (xref table sayısı), Silinmiş Nesne Kalıntıları | Katman Sayısı / Kurtarılabilir Nesne Oranı | Gizli silinmeler, metin değiştirme geçmişi, sansür tespiti. |
| Gömülü Nesne Meta Verisi (EXIF/XMP) | Kamera Modeli, Lens, GPS Koordinatları, Software Tag | Coğrafi Konum Doğruluğu / Yazılım Zinciri | Fotoğrafın çekim yeri/زمان doğrulaması; “screen capture” vs “camera original” ayrımı. |
| Font Gömme Durumu | Embedded / Subset / Not Embedded / CIDFont Type | Karakter Kümesi Eksikliği / Subset Prefix (ABC123+) | Belge düzenlenebilirliği riski; font değiştirme ile metin enjeksiyonu tespiti. |
| Şifreleme / İzin Bayrakları | Handler (StdCF, PubSec), Key Length (40/128/256-bit), Perms (Print, Copy, Modify) | Erişim Kontrol Matrisi | Sızıntı engelleme bypass tespiti; yetkisiz erişim kanıtı. |
| Aktif İçerik Vektörleri | JavaScript, Launch, EmbeddedFiles, RichMedia, XFA | Risk Skoru (CVSS Benzeri) | Kötü amaçlı kod taşıma riski; analist güvenliği (sandbox zorunluluğu). |
| Yapısal Anomali (Syntax/Structure) | Trailer çakışması, Dangling Object, Cross-Reference Stream hataları | pdfid.py / pdf-parser Hata Kodu Sayısı |
Kasten bozulmuş dosya (anti-forensics) veya onarım araçları izleri. |
| Pratik Hash (Fuzzy Hash) | ssdeep / sdhash / TLSH Benzerlik Skoru | % Benzerlik (0-100) | Sürümler arası ilişki kurma; “near-duplicate” belge kümelenmesi. |
| Metadata Temizleme İzleri | ExifTool -all= sonrası boş alanlar, pdfclean izleri, Linearized (Fast Web View) |
Boş Alan Sayısı / Linearization Bayrağı | Kasten anonimleştirme girişimi; “scrubbing” kanıtı. |
| Renk Profili / ICC | sRGB, Adobe RGB, CMYK, DeviceN | Profil Adı / CMM Type | Basım öncesi (prepress) iş akışı kanıtı; ofis çıktısı vs matbaa dosyası ayrımı. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Saha uygulamalarında en kritik senaryo siyasi sızıntı belgelerinin (örn. Panama Papers, Pandora Papers, yerel muhalefet belgeleri) kaynak doğrulama ve “honey trap” tespitidir. Analist, sızan PDF’in Producer: "Adobe InDesign 15.0 (Windows)" ikal Creator: "Microsoft Word for Office 365" çelişkisini ve ModDate ile dosya sistemi LastWrite zamanının 3 saat farkını tespit ederek belgenin orijinalinden kopyalanıp Word’e aktarıp tekrar PDF’e basıldığını (print-to-PDF) kanıtlar. Askeri/İstihbarat belgelerde EXIF verisi silinmiş (scrubbed) görsellerde, kalıntı thumbnail (ExifThumbnail) veya XMP History dizisindeki stEvt:softwareAgent alanları orijinal kamerayı (örn. DJI Drone FC6310) ortaya çıkarır. Kurumsal dolandırıcılıkta (fatura/şartname sahteciliği), font subset prefix’lerinin (ABC123+TimesNewRoman) orijinal şablonla uyuşmaması ve Incremental Update katmanında silinen “Toplam Tutar” metninin kurtarılması mahkemelik delil oluşturur. OSINT’de indirilen raporların PDF ID tuple’ları, aynı kaynaktan dağıtılan farklı versiyonları (redacted vs unredacted) bağlamak için kullanılır.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Birincil operasyonel darboğaz zaman dilimi (timezone) belirsizliğidir; PDF D:20231015120000+03'00' formatında ofset belirtse de, EXIF DateTimeOriginal ofsetsiz UTC varsayımıyla yazılır; bu, kuzey yarımküresinde yaz/kış saati geçişlerinde 1-2 saatlik yanlış korelasyonlara yol açar. Çözüm: Tüm zaman damgalarını UTC epoch’a normalize edip tzdata veritabanı ile doğrulamak. İkinci risk anti-forensik araçlar (Mat2, ExifTool -all=, PDF Redaction tools) ile meta verinin kasıtlı temizlenmesidir. Çözüm: Dosya sistemine inmeyen yapısal anomali analizi (boş xref entry’ler, orphaned stream’ler) ve ssdeep ile temizlenmiş dosyanın orijinaliyle fuzzy hash karşılaştırması. Üçüncü zorluk şifreli/parola korumalı PDF’lerdir; qpdf --decrypt veya pdfcrack/hashcat ile yetkili erişim sağlanmalı, şifre kırma süreci yasal çerçeve (5237 sayılı Kanun Madde 243/244) içinde belge lenmelidir. Dördüncü risk büyük veri hacmi (terabyte ölçeğinde belge yığını); otomasyon için Apache Tika + Elasticsearch pipeline kurulumu ve YARA kuralları ile triyaj yapılması zorunludur.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son iki yılda PDF 2.0 (ISO 32000-2) yaygınlaşması, OutputIntents ve PageLabels gibi yeni meta veri vektörleri getirdi; Associated Files (AF) özelliği ile gömülü dosyaların kendi meta verilerini taşıması analizi derinleştirdi. C2PA (Coalition for Content Provenance and Authenticity) standardı, medya dosyalarına kriptografik imzalı “Content Credentials” (c2pa manifest) gömmeyi standartlaştırıyor; bu, EXIF/XMP’in ötesinde, yapay zeka üretilen içerik (AIGC) tespiti ve kaynak zinciri (provenance) için evrensel bir katman oluşturuyor. Blockchain tabanlı zaman damgalama (OpenTimestamps, OriginStamp) PDF hash’ini Bitcoin/ETH bloklarına kaydederek “varlık kanıtı” (proof-of-existence) sağlıyor; mahkemelerde artık kabul gören bir yöntem haline geliyor. Yapay Zeka Destekli Anomali Tespiti: Transformer tabanlı modeller (LayoutLMv3, Donut), PDF’in görsel düzen (layout) ve meta veri tutarsızlıklarını (örn. font boyutu vs bbox koordinatları) insan gözünden hızlı tespit ediyor. Gelecek 5-10 yılda “Zero-Trust Document” paradigması hâkim olacak; her belge, oluşturulma anında C2PA manifestı, blockchain ankoru ve diferansiyel gizlilikli (differential privacy) meta veri özeti ile imzalanacak, doğrulama ise otomatikleşecek.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: PDF meta verileri silinse bile (scrubbing) belge aslı mı sahte mi anlaşılabilir mi?
Evet. Meta veri temizleme araçları (Mat2, ExifTool) genellikle Info Dictionary ve XMP’yi siler ancak PDF yapısal iskanatı (Internal Structure) dokunmaz. /ID tuple’ı (özellikle Permanent ID), artık güncelleme katmanları (incremental updates), font subset prefix’leri, nesne numaralandırma mantığı ve yazılım spesifik nesne yazım sıraları (object stream ordering) “parmak izi” bırakır. Bu yapısal gürültü, pdfid.py ve pdf-parser.py ile çıkarılıp bilinen yazılım profilleri (NSRL/TrID) ile karşılaştırılarak belge aslı mı, hangi araçla üretilmiş mi tespit edilir.
Soru 2: EXIF verisi olmayan bir ekran görüntüsünden (screenshot) orijinal fotoğraf mı ayrılır?
Kesinlikle. Ekran görüntüleri (PNG/JPG) EXIF Make/Model alanlarını taşımaz (veya işletim sistemi adını yazar: “Screenshot”, “Windows Snipping Tool”). Daha da önemlisi, Sensor Pattern Noise (SPN/PRF – Photo Response Non-Uniformity) analizi ile kameranın sensör parmak izi ekran görüntüsünde yoktur; yerine monitörün piksel yapısı ve GPU render pipeline gürültüsü vardır. Ayrıca ekran görüntüsünde Software tag’i işletim sistemini, ColorSpace genellikle sRGB/Display P3 iken orijinalde Adobe RGB/CMYK olabilir. Exiftool -H ile hex dump bakıldığında thumbnail (JFIF marker 0xFFE1) yokluğu da kanıttır.
Soru 3: “CreationDate” gelecekte bir tarihi gösteriyorsa bu ne anlama gelir?
Bu, sistem saatinin yanlış ayarlanması (en yaygın), kasten ileri tarihleme (backdating/forward dating) veya farklı zaman dilimi ofset hesaplama hatası (UTC vs Local) olabilir. Analizde; dosya sistemi Birth Time (Linux statx, Windows CreationTime), e-posta gönderim başlığı (Received headers), indirme logları (browser history last_visit_time) ve sunucu taraflı loglar (HTTP Last-Modified) ile korelasyon yapılır. Eğer sadece PDF içi tarih gelecekteyse ve dış dünya gerçektse -> Kasten manipülasyon veya yerel saat hatasıdır.
Soru 4: PDF’in “Linearized” (Fast Web View) olması meta veri analizi için risk mi?
Evet, hem risk hem avantajdır. Linearization, dosya yapısını sayfa sayfa akışlı okuma için yeniden düzenler (Hint tables, Linearization Dictionary). Bu işlem orijinal /ID Changing ID’sini değiştirir ve artık güncelleme zincirini (incremental updates) tek bir akışta birleştirerek (flattening) revizyon geçmişini yok eder. Ancak, Linearization Dictionary’si (/L, /H, /O, /E, /N, /T parametreleri) dosyanın ne zaman ve hangi araçla (örn. Adobe Acrobat 20.009) linearize edildiğini kaydeder; bu da yeni bir meta veri katmanı oluşturur.
Soru 5: Bir belgedeki font subset prefix’i (örn. ABC123+TimesNewRoman) ne anlama gelir?
PDF spesifikasyonu (ISO 32000), tam gömülmemiş fontlar için rastgele 6 karakterlik bir prefix (A-Z) zorunlu kılar. Bu prefix, fontun o belgeye özgü bir alt kümesi (subset) olduğunu belirtir. Eğer iki farklı belgede birebir aynı prefix (ABC123+) ve font adı geçiyorsa, bu belgelerin aynı kaynak dosyadan (same workflow/export instance) çıktığına dair güçlü bir kanıttır. Farklı prefixler (ABC123 vs XYZ789) aynı font için bile ayrı export işlemlerini gösterir.
Soru 6: Metadata analizi yasal delil olarak mahkemede geçerli mi?
Türkiye’de 5237 sayılı TCK Madde 243/244 ve HMK Madde 195/1 çerçevesinde, dijital veriler “yazılı delil” sayılır. Meta veriler, belgenin orijinalliğini ve bütünlüğünü kanıtlayan “ikincil delil” niteliğindedir. Kritik şart: Kanıt Zinciri (Chain of Custody) bozulmamalıdır. Edinimde yazılımdan bağımsız hash (SHA-256) alınmalı, süreç fotoğraflanmalı/videolanmalı, uzman raporunda (6545 sayılı Kanun Madde 31) metodoloji (hangi araç, versiyon, parametre) şeffaf bildirilmelidir. Meta veri tek başına “içerik doğruluğu” kanıtlamaz; “dosya geçmişi doğruluğu” kanıtlar.
Bolum 9: Temel Terimler Sozlugu
Artık Veri (Residual Data / Incremental Update): PDF’in update modunda kaydedilmesi sonucu dosya sonuna eklenen yeni nesneler ve xref tabloları, eski nesnelerin silinmeden kalmasıdır. Belgenin “stratigrafik katmanlarını” oluşturur; silinen metin, resim veya anotasyonları kurtarmayı sağlar.
PDF Kimlik Dizisi (/ID Array): Trailer sözlüğünde bulunan, 16 baytlık iki MD5 hash’ten oluşan dizi. İlk eleman Permanent ID (oluşturma anında atanır, asla değişmez), ikinci eleman Changing ID (her kaydetmede değişir)dir. Belgenin benzersiz kimliği ve revizyon takibi için kritiktir.
XMP (Extensible Metadata Platform): Adobe tarafından geliştirilen, RDF/XML tabanlı meta veri standardı. PDF’in içine Metadata stream olarak gömülür. Dublin Core, IPTC, XMP Rights Management gibi şemaları destekler; xmp:CreateDate, xmp:ModifyDate, xmpMM:History (işlem geçmişi) alanları analiz için altın standarttır.
Fuzzy Hashing (ssdeep / TLSH / sdhash): Geleneksel hash’lerin (SHA-256) aksine, dosyada küçük değişiklikler (bayt ekleme/silme) olduğunda bile benzerlik skoru (0-100) üreten algoritmalar. “Neredeyse aynı” (near-duplicate) belgeleri kümelemek, sürümler arası ilişki kurmak için kullanılır.
C2PA (Coalition for Content Provenance and Authenticity): Intel, Microsoft, Adobe, BBC, Twitter/X gibi devlerin kurduğu, dijyal içeriklerin kökenini (provenance) kriptografik olarak imzalayan (W3C Verifiable Credentials) açık standardı. “Content Credentials” manifestı dosya içine (JPEG/MP4/PDF) gömülür; yapay zeka üretilen içerik ve manipülasyon tespitinde evrensel çözüm olmayı hedefler.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Meta veri analizi, belge gazeteciliğinin “görünmez elmi”den “adli mühendislik disiplinine” evrilmesidir. Bu protokol; dosya sisteminden uygulama katmanına, yapısal iskanatlardan kriptografik kimliklere kadar çok katmanlı bir doğrulama zinciri sunar. Stratejik çıkarımlar şöyledir: 1) Tek bir meta veri alanı (örn. CreationDate) asla tek başına delil değildir; tutarlılık matrisi (Cross-Validation) zorunludur. 2) Anti-forensik temizleme (scrubbing) yapısal anomali ve fuzzy hash ile tespit edilebilir; temizleme girişimi kendisi bir kanıttır (spoliation inference). 3) C2PA ve Blockchain zaman damgalama, gelecekte “güvenilir belge” standardını oluşturacak; bugünden altyapıya yatırım (Tika/Elasticsearch/YARA pipeline) kaçınılmazdır. Karar vericiler için yol haritası: Edinimde Hash -> Statik/Dinamik Çıkarım -> Korelasyon Matrisi -> Uzman Raporu -> Kanıt Zinciri Saklama. Bu döngü, sahtecilik riskini minimize eder, kaynak korumasını güçlendirir ve jeopolitik istihbarat üretiminde “dijital güven” temin eder. Haber Impress standartlarında bu metodoloji, editöryel denetimin teknik zeminidir.
