Belge Gazeteciliğinde Meta Veri Analizi: PDF İnceleme, EXIF Verileri ve Dijital Parmak İzleri: Kimler yüksek risk grubundadır dikkat edilmesi gereken teknik tuzaklar

Bolum 1: Kapsam, Tanim ve Temel Yaklasim

Belge gazeteciliğinde meta veri analizi, dijital belgelerin (PDF, resim, ses, video) içeriğinin ötesindeki “verinin verisi”ni sistematik olarak çıkarıp, doğrulayıp ve bağlamlandıran disiplinlerarası bir alan oluşturur. Ontolojik olarak bir belgeyi sadece bilgi taşıyıcısı değil, aynı zamanda üretim sürecinin, aktörlerin ve altyapının dijital parmak izini taşıyan bir “kanıt nesnesi” olarak konumlandırır. Metodolojik çerçeve; dosya sistem meta verilerinden (MAC zaman damgaları), uygulama katmanı meta verilerine (PDF Producer/Creator, EXIF, XMP, IPTC), yapısal analizlere (objeler, akışlar, artıklık) ve şifreleme/imza doğrulamalarına kadar uzanır. Temel parametreler; dosya bütünlüğü (hash), yazarlık kimliği, üretim zaman çizelgesi, yazılım/aygıt profili ve revizyon geçmişidir. Bu yaklaşım, “içerik analizi”nden “konteyner ve yapı analizi”ne paradigma kaydırımı yaparak, sahtecilik tespiti, kaynak koruma ve istihbarat toplama (OSINT) için adli derecede kanıtlanabilir bir temel sağlar.

Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi

Mekanizma, dosya formatlarının (ISO 32000-1/2 için PDF, Exif 2.31/JEITA CP-3451 için resim) spesifikasyonlarına dayalı olarak, dosya başlıkları (header), çapraz referans tabloları (xref), nesne akışları (object streams) ve ek veri segmentleri (APP1, APP13) içinde gömülü metadatanın ayrıştırılmasına dayanır. PDF’te /Info sözlüğü, XMP paketleri (/Metadata akışı) ve parçalanmış nesne yapıları; EXIF’te ise TIFF tabanlı IFD (Image File Directory) yapısı, yazılım, işletim sistemi, zaman dilimi, GPS koordinatları, seri numarası ve sensör verilerini kodlar. Sebep-sonuç ilişkisi; bir belgenin oluşturulması (Authoring), dönüştürülmesi (Distilling/Print to PDF), düzenlenmesi (Incremental Update) ve imzalanması (PAdES) aşamalarının her birinin dosya yapısına deterministik izler bırakmasıdır. Bu izler; yazılım sürümü (örn. Adobe Acrobat Pro 2023 vs. Ghostscript 9.56), yazıcı sürücüsü, font gömme stratejisi ve artıklık (redundancy) kontrolleri üzerinden tersine mühendislik yapılarak, belgenin “hayat döngüsü” (lifecycle) yeniden inşa edilir.

Bolum 3: Metodoloji, Standartlar ve Protokoller

Analiz metodolojisi; NIST SP 800-86 (Dijital Adli Bilişim Kılavuzu), ISO/IEC 27037 (Dijital Kanıt Tanıma/Toplama), ISO 32000-2 (PDF 2.0) ve SWGDE (Bilimsel Çalışma Grubu Dijital Kanıt) en iyi uygulamaları standartlarına bağlanır. Protokol; 1) Edinme (Acquisition): Yazım engelli (write-blocker) donanım/ yazılım ile bit düzeyinde görüntü alma (E01/RAW) ve SHA-256/Blake3 hash doğrulama. 2) Ayrıştırma (Parsing): pdf-parser.py, peepdf, exiftool, pdfid araçlarıyla yapısal haritalama; artıklık (incremental updates) tespiti için xref zinciri takibi. 3) Normalizasyon ve Zaman Çizelgesi: UTC’ye çevrim, saat dilimi ofset analizi (EXIF OffsetTime vs PDF CreationDate/ModDate Z suffix kontrolü). 4) Anomali Skorlama: Entropi analizi (şifreli akışlar), font alt kümesi (subset) tutarsızlıkları, üretici/oluşturan (Producer/Creator) kimliği ile dosya içi yazılım izleri (örn. /Producer: Adobe PDF Library ama /Creator: Microsoft Word) çelişkilerinin istatistiksel modellenmesi. 5) Raporlama: Adli rapor formatında (Chain of Custody, Tool Output Logs) kanıtlanabilir çıktı üretimi.

Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu

Bolum 5: Uygulama Alanlari ve Pratik Senaryolar

Saha uygulamalarında; Panama Papers / Paradise Papers sızdırmalarında PDF meta verileri (Producer: “Adobe PDF Library 15.0”, Creator: “Microsoft Word for Mac 15.XX”), kaynakların ofis yazılımı ve işletim sistemi profillerini ortaya koyarak kimlik daraltma (attribution) sağlamıştır. MH17 Uçuşu raporlarında EXIF verili uydü fotoğraflarının zaman dilimi ve sensör verileri, Rus tarafının sunduğu “sahte” görüntülerin (Photoshop CS6 Windows, zaman damgası manipülasyonu) tespitinde kritik olmuştur. Yerel Gazetecilikte: Bir belediye ihale dosyası (PDF) “Resmi Gazete” baskı tarihi öncesine ait CreationDate taşıyorsa, ihale sürecinin önden belirlendiği kanıtı elde edilir. Kaynak Koruma: “Yüksek Risk Grubu” (Muhabir, Editör, Kaynağın Avukatı, IT Güvenlik Uzmanı) için; kaynak bir belge gönderirken EXIF verisi (cihaz modeli, seri no, GPS) ve PDF Author alanı (Kullanıcı adı: “john.doe.admin”) içermiyorsa, bu “Temizleme Protokolü” (MAT – Metadata Anonymization Toolkit) uygulanmış demektir; aksi takdirde kaynak de-anonimize edilir. Teknik tuzak: “Print to PDF” (Microsoft Print to PDF) kullanımı, orijinal yazılım izlerini (Word/InDesign) siler ama yeni bir “Producer: Microsoft Print to PDF” izi bırakır; bu da belgenin “ikinci nesil” (derivative) olduğunu kanıtlar.

Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari

Operasyonel Darboğazlar: 1) Büyük Veri Hacmi: Terabaytlık arşivlerde (örn. Wikileaks, ICİJ veri kümeleri) tek tek exiftool çalıştırmak pratik değildir. Çözüm: Apache Tika / Spark tabanlı dağıtık meta veri çıkarım hatları (pipelines). 2) Şifreli / Parololu PDF’ler: /Encrypt dictionary ve /CF (Crypt Filter) engelleri. Çözüm: Hashcat / John the Ripper ile sözlük/sıfırlama saldırıları (yasal yetki çerçevesinde) veya /ID dizisi analizi ile dosya kimliği doğrulama. 3) Zaman Dilimi Kaosu: CreationDate (D:20230101120000+03'00') vs EXIF DateTimeOriginal (2023:01:01 12:00:00) vs Dosya Sistemi Birth Time (UTC). Çözüm: Tüm zaman damgalarını ISO 8601 UTC’ye normalize eden merkezi bir “Zaman Normalizasyon Mikroservisi”. Risk Faktörleri: Yanlış pozitifler (False Positives) – Örn: Virüsten koruma yazılımı dosyayı tararken ModDate günceller. Proaktif Strateji: “Saf Ortam (Clean Room)” sanal makinelerde (snapshot geri alma ile) analiz yapma. Hata Modu: Meta veri “temizleme” araçlarının (ExifTool -all=, PDF Redaction) kendi izlerini (XMP xmp:ModifyDate güncellemesi) bırakması. Çözüm: Hex editör (010 Editor / ImHex) ile ham bayt seviyesinde doğrulama.

Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi

Yapay Zeka ve Büyük Dil Modelleri (LLM): LLM’ler (GPT-4, Claude 3 Opus) artık ham PDF nesne akışlarını (obj 1 0 R >> stream ... endstream) okuyup, /Producer string’ini yazılım sürüm geçmişi veritabanları ile çapraz referanslayarak “Bu dosya Ghostscript 10.01.1 ile üretilmiş, ancak /Creator alanı ‘Adobe InDesign 2024’ diyor; bu bir sahtecilik göstergesidir” gibi yüksek seviyeli anomali raporları üretebiliyor. Kuantum Dayanıklı İmzalar (PQC): PAdES-LTV (Long Term Validation) profilleri, CRYSTALS-Dilithium / Falcon algoritmalarıyla güncelleniyor; meta veride /V (Değer) ve /SubFilter alanları post-kuantum imza doğrulaması için genişletiliyor. Blockchain / Merkle Tree Ankorlama: Belge hash’lerinin (SHA-384) Bitcoin/Opentimestamps veya Kurumsal Hyperledger Fabric zincirlerine ankorlanması, ModDate manipülasyonunu matematiksel olarak imkansız hale getiriyor. Sıfır Güven (Zero Trust) Meta Veri: Dosya paylaşım platformları (Nextcloud, Onna), indirme anında sunucu tarafında meta veriyi strip’leyip (temizleyip), sadece policy’e uygun alanları (Title, Author=Anonim) yeniden enjekte eden “Meta Veri Ağ Geçitleri” (Metadata Gateways) dağıtıyor. 5-10 Yıllık Projeksiyon: “Kendini Kanıtlayan Belgeler” (Self-Attesting Documents); dosya formatı içine gömülü ZK-SNARKs (Zero-Knowledge Proofs) ile, içeriğin değişmediğini ve meta verinin yetkili bir otorite tarafından onaylandığını üçüncü tarafa sızdırmadan kanıtlayan dosya formatları (PDF/UA-2 veya yeni bir standart) standartlaşacak.

Bolum 8: Sikca Sorulan Sorular (SSS)

Soru 1: Bir PDF dosyasının “Print to PDF” ile mi yoksa orijinal yazılımla (Word/InDesign) mı oluşturulduğunu nasıl anlarız?

Cevap: /Producer ve /Creator alanlarına bakılır. “Microsoft Print to PDF” veya “macOS Quartz PDFContext” görüldüğünde dosya ikinci nesil (derivative) bir çıktıdır. Orijinal yazılım izleri (örn. Word’in RSID tabloları, InDesign’in xmpMM:InstanceID) “Print to PDF” sürecinde yok edilir. Ancak, font gömme stratejisi (Base14 fontları vs Subset CIDFont), sayfa boyutu hassasiyeti (points cinsinden kesirli değerler) ve içerik akışı (content stream) operatör sıralaması (TJ vs Tj) orijinal yazılımın “parmak izini” koruyabilir; bu yapısal fingerprints pdfid veya pdf-parser ile çıkarılır.

Soru 2: EXIF verisi silinmiş bir fotoğrafta (ExifTool -all=) kamera modeli veya seri numarası kurtarılabilir mi?

Cevap: Standart EXIF IFD’ler (APP1) silinse bile; JPEG APP13 (Photoshop IRB/ IPTC), XMP (APP1), JUMBF (JPEG XL / ISO 21122), MakerNote (özel üretici segmenti, genellikle APP1 içinde şifrelikomşu) veya Thumbnail (EXIF IFD1) içinde kopya veriler kalabilir. Ayrıca, sensör pürüz desenleri (PRNU – Photo Response Non-Uniformity) veya lens distorsiyon profilleri, piksel seviyesinde analiz (Blind Source Separation) ile cihazı benzersiz tanımlayabilir; bu “içerik tabanlı parmak izi” meta veri silinmesine karşı dayanıklıdır.

Soru 3: PDF’de CreationDate ve ModDate alanları manipüle edilirse (Timestomping), orijinal tarih nasıl tespit edilir?

Cevap: 1) Artıklık (Incremental Updates): Eski trailer ve xref blokları dosyanın sonundaki yeni trailer tarafından işaret edilmez ama dosya gövdesinde fizikal olarak kalır. pdf-parser.py -a ile eski /CreationDate değerleri okunur. 2) Dosya Sistemi META Verisi: $MFT (NTFS) Birth Time (Creation Time) veya ext4 crtime (debugfs ile), uygulama katmanı tarihinden bağımsız olarak disk yazılma anını kaydeder. 3) XMP xmpMM:History: stEvt:action="created" ve stEvt:when alanları yazılım tarafından ayrı tutulur. 4) Şifreleme Kimliği (/ID): İki dosyanın /ID dizisi (permanent ID, changing ID) eşleşirse aynı dosyadır; zaman damgası farkı manipülasyondur.

Soru 4: “Yüksek Risk Grubu”na giren gazeteciler/kaynaklar meta veri sızıntısını önlemek için hangi “Temizleme Protokolünü” (MAT) uygulamalıdır?

Cevap: 1) Kaynak Cihazı: Tails OS / Qubes OS (Disposable VM) kullanımı. 2) Belge Hazırlama: Orijinal belge -> Metin çıkarımı (OCR/PDFTOTEXT) -> Yeni, şablonsuz bir editörde (Notepad++ / VS Code / LibreOffice Writer “Yeni Belge”) yeniden yazım/formatlama (Copy-Paste YASAK, manuel yazım veya OCR->Temiz Metin->Yeniden Yapılandırma). 3) Çıktı Alma: “Print to PDF” YASAK. LibreOffice “Export As PDF” -> Genel Sekmesi: “PDF/A-1b” seç, “Yapıyı Dışa Aktar” işaretli, “Yazar” boş. Başlangıç Sekmesi: “Tam Ekran” kapalı. Güvenlik Sekmesi: Şifreleme YOK (şifreleme meta veri ekler). 4) Son Doğrulama: exiftool -all= output.pdf -> mat2 output.pdf -> pdfinfo output.pdf -> Hex editörle Producer/Creator/CreationDate/ModDate alanlarının D:19700101000000Z veya boş/standart değerlere düşürüldüğünü onayla.

Soru 5: PDF içinde gizli JavaScript (/JS, /JavaScript, /AA, /OpenAction) veya gömülü dosyalar (/EmbeddedFiles) nasıl tespit edilir ve riski nedir?

Cevap: pdfid.py veya peepdf -f araçları /JavaScript, /JS, /Launch, /SubmitForm, /RichMedia, /EmbeddedFiles etiketlerini tarar. Risk: Client-Side Attack (Maldoc). Belge açıldığında (OpenAction) veya tıklandığında (AA – Additional Actions) JavaScript çalışarak; sistem bilgisi toplayabilir (OS, IP, AV durumu), payload indirebilir (CVE-2023-XXXX exploit) veya dosya sisteminden veri sızdırabilir. Gazeteci için: Asla şüpheli PDF’i Adobe Reader/Chrome ile açma. Analiz: remnux / cuckoo sandbox / pdfparser.py --search javascript ile statik analiz; IOC (Indicator of Compromise) çıkarıp tehdit istihbaratı (TI) platformlarına (MISP, OpenCTI) besle.

Soru 6: Dijital İmza (PAdES) olan bir belgenin meta verisi değiştirilirse imza bozulur mu?

Cevap: Evet, kesinlikle. PAdES-BES/LTV imzası, dosyanın bayt-bayt hash’ini (genelde SHA-256) /Contents alanında saklar. Meta veri değişimi (hatta tek bir boşluk eklenmesi) dosya hash’ini değiştirir, imza doğrulama (Adobe Reader / DSS Validation Service) “İmza Geçersiz: Belge Değiştirildi” hatası verir. İstisna: Artıklık (Incremental Update) ile İmza Ekleme. İmza, dosyanın sonuna yeni bir xref + trailer + imza nesnesi eklenerek yapılır. Bu durumda önceki meta veriler (eski trailer/xref) korunur, yani imza tarihi sonrasındaki meta veri değişiklikleri tespit edilebilir. Ancak imza öncesindeki meta veriler değiştirilemez.

Bolum 9: Temel Terimler Sozlugu

Artıklık Güncelleme (Incremental Update): PDF dosyasına, mevcut yapıyı bozmadan sonuna yeni nesneler (annot, signature, modified page) ve yeni bir xref/trailer ekleyerek revizyon kaydetme yöntemi. Silinen nesneler fizikal olarak diskte kalır, “undo” analizi mümkündür.
PRNU (Photo Response Non-Uniformity): Kameranın sensör piksellerinin üretim kaynaklı, deterministik ve benzersiz hassasiyet farklılıkları desenidir. Meta veri yoksa bile görüntüden cihaz kimliği (device fingerprinting) ve sahtecilik (splicing) tespiti için kullanılan biyometrik kanıt standardıdır.
XMP (Extensible Metadata Platform): Adobe tarafından geliştirilen, RDF/XML tabanlı, dosya formatından bağımsız meta veri standardı (ISO 16684-1). PDF’de /Metadata akışı içinde UTF-8 olarak gömülür; dc:creator, xmp:CreateDate, xmpMM:History (türetme geçmişi) gibi kritik alanları taşır.
MAT (Metadata Anonymization Toolkit) / MAT2: Gömülü meta verileri (EXIF, IPTC, XMP, ID3, PDF Info Dict) temizlemek için kullanılan komut satırı aracı (Python). Risk: Kendi çalışma izini (örn. XMP xmp:ModifyDate güncellemesi) bırakabilir; bu nedenle son doğrulama hex editörle zorunludur.
Timestomping (Zaman Damgası Manipülasyonu): Dosya sisteminin (MFT, inode) veya uygulama katmanının (PDF Info Dict, EXIF) zaman damgalarını (Created, Modified, Accessed) kasıtlı olarak değiştirerek adli zaman çizelgesini bozma saldırısı. SetMACE, Timestomp.exe, Touch komutları veya PDF kütüphaneleri (PyMuPDF/fitz) ile yapılır.
PAdES (PDF Advanced Electronic Signatures): ETSI EN 319 142 standardına uygun, uzun vadeli doğrulanabilirliği (LTV – Long Term Validation) destekleyen, zaman damgası yetkilisi (TSA) ve OCSP/CRL doğrulama verilerini belge içine gömerek (Document Security Store – DSS) çevrimdışı doğrulamayı sağlayan imza profili.

Bolum 10: Sonuc ve Stratejik Degerlendirme

Meta veri analizi, belge gazeteciliğinin “görünmez mühendisliği”dir; içerik denetiminin ötesinde, belgenin ontolojik statüsünü (orijinal mi, kopya mı, sahte mi, manipüle mi?) belirleyen adli kimlik kartıdır. Bu analiz, yüksek riskli aktörler (muhabirler, kaynaklar, avukatlar, editörler) için operasyonel güvenlik (OPSEC) hayatiyetindedir; tek bir GPSLatitude veya Author: "admin" alanı, aylardır sürdürülen bir araştırmayı ve kaynağı bir saniyede ifşa edebilir. Stratejik yol haritası şu üç temel direğe dayanmalıdır: 1) Proaktif Hijyen: Kurumsal “Meta Veri Ağ Geçidi” (Metadata Gateway) dağıtımı; tüm giren/çıkan belgelerin politikaya uygun olarak strip’lenmesi/yeniden imzalanması (Zero Trust). 2) Adli Hazırlık: Takımda en az bir “Dijital Adli Analist” yetiştirilmesi; pdf-parser, exiftool, 010 Editor, remnux araç seti ile belge tehlike modelleri (Threat Modeling) üzerine düzenli “Red Team” egzersizleri. 3) Standartlaştırma ve Otomasyon: CI/CD hatlarına entegre statik analiz (SAST benzeri “Static Document Analysis”); hash kaydı, blockchain ankorlama ve ZK-Proof tabanlı “Kendini Kanıtlayan Belge” altyapısına geçiş. Gelecek, meta veriyi “temizleme”