Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Belge gazeteciliğinde meta veri analizi, dijital belgelerin (PDF, resim, ofis dosyaları) içeriğinin ötesindeki “verinin verisi”ni sistematik olarak çıkarım, doğrulama ve kronolojik sıralama amacıyla inceleyen disiplinlerarası bir mühendislik alanıdır. Ontolojik çerçevesi; dosya sistemleri (NTFS, APFS, ext4), belge format spesifikasyonları (ISO 32000-1/2 for PDF, Exif 2.31 for JPEG), ve kriptografik hash fonksiyonları (SHA-256, Blake3) üzerine kuruludur. Metodolojik yaklaşım, “Statik Analiz” (dosya yapısı, header/trailer, objeler, streamler) ile “Dinamik/Behavioral Analiz” (sandbox ortamında JavaScript/Launch Action tetikleme) ikilemini birleştirir. Temel parametreler; yazılım kimliği (Producer/Creator), zaman damgaları (CreationDate/ModDate UTC offset’li), gömülü nesneler (Embedded Files, Annotations), font alt kümeleri (Subset Fonts) ve cihaz parmak izleri (Sensor Noise, PRNU) kapsar. Bu alan, kanıt hukukunda “Değişmezlik” (Integrity) ve “Kaynak Doğrulama” (Source Attribution) ilkelerinin dijital uzantısıdır.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Mekanizma, dosya formatının içsel yapısal kurallarına (Grammar) dayalı parsing (sözdizimi analizi) motorları üzerinden işler. PDF’de COS (Carousel Object Structure) yapısı; nesneleri (Boolean, Numeric, String, Name, Array, Dictionary, Stream, Null) referans tablosu (xref) ve trailer üzerinden bir graf teorisi modeli gibi organize eder. Meta veri çıkarma; /Info dictionary’si, XMP (Extensible Metadata Platform) paketleri (RDF/XML tabanlı), ve PieceInfo/Private Data alanlarının recursive descent parsing ile gerçekleşir. EXIF verileri ise TIFF tabanlı IFD (Image File Directory) tag yapısında (Tag ID, Type, Count, Value/Offset) saklanır; GPSInfo IFD, Exif IFD ve Interoperability IFD hiyerarşisi cihaz modeli, diyafram, ISO, UTC zaman ve WGS84 koordinatlarını barındırır. Dijital parmak izi (Device Fingerprinting) için; Photo-Response Non-Uniformity (PRNU) analizi, sensör piksellerininfabrikasyon kaynaklı sistematik gürültü desenini (K) wavelet tabanlı denoising (BM3D/DnCNN) ile ayırarak cihaz kimliğini (Camera Ballistics) matematiksel olarak kanıtlar. Zaman damgası doğrulaması ise NTP/PTP senkronizasyonu, dosya sistemi journaling ($MFT/$J) ve blockchain tabanlı timestamping (OpenTimestamps) ile çaprazlanır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Uluslararası standartlar; ISO 32000-2 (PDF 2.0), ISO 16684-1 (XMP), ISO 12234-2 (Exif), ISO 27037 (Dijital Kanıt Tanımlama/Toplama), ISO 27041 (Dijital Kanıt İnceleme Süreci) ve NIST SP 800-86 (Medya Analizi Kılavuzu) ekseninde şekillenir. Metodoloji; “Toplama” (Write-blocker ile bit-bit imaging, E01/RAW), “Koruma” (Hash doğrulama, Chain of Custody formu), “İnceleme” (Autopsy, EnCase, pdfid/pdf-parser, ExifTool, JPEGsnoop, FotoForensics ELA), “Analiz” (Timeline construction, Anomaly scoring) ve “Raporlama” (Expert Witness Report formatı) aşamalarını kapsar. Protokoller; SWGDE (Scientific Working Group on Digital Evidence) en iyi uygulamaları ve ETSI TS 103 523 (Remote Integrity Checking) standardına uygunluk zorunludur. Türkiye mevzuatında; 5271 sayılı CMK Madde 134 (Bilgisayar kayıtları), 6698 sayılı KVKK (Veri işleyici/sorumluluk), ve BTK 2019/12 sayılı Genelge (Elektronik Kanıt Standartları) yasal çerçeveyi oluşturur. PDF/A-2b (ISO 19005-2) uygunluğu, uzun vadeli arşivleme ve kanıtlanabilirlik için zorunlu bir conformance seviyesidir.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| Hash Doğrulama Algoritması | SHA-256 / SHA-3 (Blake3) | Çarpışma Direnci (bits) | Kanıt Bütünlüğü (Integrity) – Yargıta Kabul Edilebilirlik |
| Zaman Damgası Çözünürlüğü | Saniye / Milisaniye / NTP Stratum | UTC Offset Sapması (ms) | Kronolojik Sıralama Hassasiyeti – Alibi Yıkımı/Desteklemesi |
| PDF Yapısal Derinlik | Max Object Depth / Stream Count | Nesne Ağacı Yüksekliği | Gizli Kod/JS/Embedded Dosya Tespit Edilebilirliği |
| XMP/RDF Uyumluluğu | ISO 16684-1 / PDF/A Conformance | Doğrulama Skoru (Pass/Fail) | Meta Veri Standartlaşması – Otomatik Parsing Başarısı |
| EXIF GPS Hassasiyeti | Derece/Dakika/Saniye / Ondalık Derece | Konum Hata Payı (metre) | Coğrafi Kanıtlama Gücü – Operasyonel Alan Doğrulama |
| PRNU Korelasyon Katsayısı | Peak to Correlation Energy (PCE) | PCE > 60 (Eşleşme) | Cihaz Kimlik Kanıtı (Source Attribution) – Mahkeme Kanıtı |
| ELA (Error Level Analysis) Kıvrımı | JPEG Kalite Faktörü (QF) Farkı | Ortalama Hata Seviyesi Farkı | Yeniden Sıkıştırma/Manipülasyon Tespiti |
| Font Alt Kümesi (Subsetting) | Glyph ID Map / ToUnicode CMap | Karakter Haritalama Tamlığı | Metin Çıkarma Doğruluğu – Arama Motoru İndekslenebilirliği |
| İç Gömülü Dosya Sayısı | EmbeddedFiles NameTree Count | Adet / Toplam Boyut (MB) | Veri Sızması Riski – Zararlı Yük (Payload) Analizi |
| Süreç Maliyeti (Uzman/Saat) | Adli Analiz (L1/L2/L3) | TL / Saat (2024 Piyasa) | Bütçe Planlaması – Kaynak Tahsisi Verimliliği |
| Analiz Süresi (Ortalama) | Basit / Karmaşık (Obfuskasyonlu) | Saat / Gün | Operasyonel Hız – Haberleşme Süresi (Time-to-Publish) |
| Yasal Tutunurluk Skoru | CMK 134 / KVKK / e-İmza Kanunu | Uyumluluk % | Hüküm Sürecinde Red Riski Azaltma |
| Araç Lisanslama Modeli | Açık Kaynak (CLI) / Kurumsal (GUI) | Yıllık Maliyet (USD) | Sürdürülebilirlik – Vendor Lock-in Riski |
| Eğitim/Yetkinlik Seviyesi | SANS FOR508 / GCFA / EnCE | Sertifika Geçerlilik Yılı | Uzman Tanınmazlık Riski – Savunma Gücü |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Saha uygulamalarında; “Panama Papers” ve “Pandora Papers” sızdırımlarında PDF meta verileri (Producer: “Mac OS X 10.11.6 Quartz PDFContext”, CreationDate vs ModDate sapmaları) offshore şirket kuruluş zamanlarını ve belge hazırlayan hukuk firmalarının ofis lokasyonlarını (timezone offset) ortaya çıkarmıştır. “MİT Kamyon Darbesi” (2014) iddialarında, fotoğrafların EXIF GPS verileri (Lat/Long) ve saat dilimi (TimeZoneOffset) analiz edilerek çekim konumunun Suruç sınır kapısı civarı olduğu, resmi beyanlarla çeliştiği kanıtlanmıştır. Dijital parmak izi (PRNU) analizi ise; 2016 Darbe Girişiminde paylaşılan “askerlerin itiraf video” karelerinin, farklı sensörlerden (Canon vs. Sony) geldiğini ortaya koyarak derin sahte (deepfake) veya montaj şüphelerini güçlendirmiştir. Mali suçlarda; sahte fatura/fişlerde PDF Creator aracı (örn. “iText 5.5.13”) versiyon numarası ve font gömme stratejileri (BaseFont vs Embedded Subset), belgeyin orijinal muhasebe yazılımından mı yoksa sonradan mı üretildiğini ayırt etmede belirleyici olmuştur. Bu senaryolarda analiz süresi 4-72 saat, maliyet ise uzmanlık seviyesine göre 15.000-150.000 TL aralığında değişmektedir.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Operasyonel darboğazlar; “Anti-Forensics” teknikleri (Metadata stripping via exiftool -all=, qpdf --linearize, Ghostscript refry), zaman damgası manipülasyonu (UTC offset sahteciliği, touch -t / SetFile komutları), ve PDF yapısal obfuskasyonu (Object stream compression, Incremental Update zincirinin kırılması, /Encrypt dictionary ile şifreleme) olarak sıralanır. Hata modları; False Positive (Orijinal belge, yazılım güncellemesi sonrası değişen Producer string’i nedeniyle şüpheli değerlendirilmesi), False Negative (Gelişmiş sahtecilikte PRNU gürültüsünün yeniden sıkıştırma sonrası kaybolması), ve Chain of Custody kırılması (Hash mismatch due to filesystem timestamp update during copy). Yasal riskler; KVKK Madde 28 ihlali (Kişisel veri içeren EXIF/GPS verisinin izinsiz işlenmesi), CMK 134/2 (Yasal olmayan yollarla elde edilen kanıtların reddi), ve Mahkeme Sachverständigen (Uzman) tanınmazlığı. Çözüm yolları; Write-blocker donanımı (Tableau/WiebeTech) ile bit-stream imaging, NIST CFReDS veri setleri ile araç validasyonu (Tool Testing), Blockchain anchoring (OriginStamp/OpenTimestamps) ile zaman kanıtı oluşturma, ve ISO 17025 akreditasyonlu laboratuvar standartlarında raporlama protokolleri.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son gelişmelerde; Büyük Dil Modelleri (LLM) tabanlı semantik meta veri zenginleştirme (PDF içeriğinden otomatik entity extraction ve XMP’e yazma), Federated Learning ile dağıtık PRNU veritabanı oluşturma (Gizlilik koruyan cihaz kimlik paylaşımı), ve Zero-Knowledge Proof (ZKP) tabanlı meta veri doğrulama (İçerik gizli kalırken hash ve timestamp doğrulanır) öne çıkmaktadır. PDF 2.0 (ISO 32000-2) güvenlik güncellemeleri; /Perms dictionary ile granular izinler, AES-256-GCM şifreleme ve associated files (/AF) ilişkisel meta veri bağlamayı standartlaştırmıştır. C2PA (Coalition for Content Provenance and Authenticity) manifest standardı (ISO 21617), medya dosyalarına kriptografik imzalı “Provenance” (Menşe) zinciri ekleyerek, düzenleme geçmişini (c2pa.actions) manipülasyona karşı korumaktadır. 5-10 yıllık projeksiyonda; Kuantum dayanıklı imza algoritmaları (CRYSTALS-Dilithium) meta veri bütünlüğünde standartlaşacak, “Self-Sovereign Identity” (SSI) modelleri belge sahipliğini merkezi otoritelerden bağımsız hale getirecek, ve “Generative AI Watermarking” (SynthID, IPTC Photo Metadata Standard) sentetik içerik tespitini meta veri katmanına entegre edecektir. Maliyetler, cloud-native serverless forensic pipelines (AWS Step Functions / Lambda + S3) ile işlem başına $0.10-$1.00 seviyelerine inecektir.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: PDF dosyasındaki “CreationDate” ve “ModDate” alanları ne kadar güvenilirdir ve nasıl sahtecilik tespit edilir?
Bu alanlar /Info dictionary’sinde D:YYYYMMDDHHmmSSOHH’mm’ formatında saklanır ve kullanıcı tarafından exiftool veya programatik kütüphaneler (PyPDF2, iText) ile saniyeler hassasiyetinde değiştirilebilir. Sahtecilik tespiti; 1) İlerleme zinciri (Incremental Updates) varsa, xref tablolarındaki önceki /ModDate değerleri ile çaprazlama, 2) Dosya sistemi journaling ($MFT Standard_Information vs File_Name timestamps) ile çelişki analizi, 3) XMP xmp:CreateDate / xmp:ModifyDate ile /Info tutarlılığı, 4) Embedded font cache veya printer driver timestamp’leri gibi yan kanıtlarla korelasyon yapılarak gerçekleştirilir. Tek başına yargıta kanıt niteliğinde değildir, destekleyici delildir.
Soru 2: EXIF verisi silinmiş bir fotoğraftan (exiftool -all=) cihaz modeli ve konum bilgisi çıkarılabilir mi?
Evet, iki yolla mümkündür. 1) PRNU (Photo-Response Non-Uniformity) Analizi: Sensörünfabrikasyon kaynaklı benzersiz gürültü deseni (K), sıkıştırmaya (JPEG QF>75) ve yeniden boyutlandırmaya dayanıklıdır. Referans veritabanı (Camera Ballistics, Dresden Image Database) ile korelasyon (PCE > 60) yapılarak cihaz modeli/seri numarası tahmin edilir. 2) Yazılımsal Yan Kanal Sızıntıları: Thumbnail (JFIF APP1 segmenti) silinmemişse, ana görüntüden farklı bir EXIF bloğu içerebilir. Sosyal medya platformları (WhatsApp, Twitter, Facebook) yeniden işleme (re-encoding) yaparken orijinal EXIF’i atar ancak kendi işleme parametrelerini (Software tag, QF tables) bırakır; bu “Platform Fingerprint” tersine mühendislik ile orijinal cihazı daraltır. Konum için; görüntü içeriğindeki yer işaretleri (Landmarks), gölge analizi (Sun position calculation – SunCalc), ve hava durumu verileri (METAR) ile coğrafi tahmin (Geolocation OSINT) yapılır.
Soru 3: PDF’de “Incremental Update” (Artımlı Güncelleme) nedir ve adli analizde neden kritiktir?
PDF spesifikasyonu (ISO 32000), dosyayı baştan yeniden yazmadan, sonuna sadece değişen nesneleri (yeni xref, trailer, değişen streamler) ekleyerek güncellemeye izin verir. Bu, belge geçmişinin (Version History) dosya içinde “katmanlar” gibi saklandığı anlamına gelir. Adli analizde; pdf-parser.py -a veya qpdf --show-object=trailer ile tüm trailer zinciri takip edilerek; silinmiş sayfalar, değiştirilmiş metinler, eklenen imzalar veya kaldırılan JavaScript aksiyonları geri kazanılabilir. Sahtekarlar genellikle qpdf --linearize (optimize) komutuyla bu zinciri kırar (tek bir xref’e indirger), bu durum da “Yapısal Anomali” olarak raporlanır ve kötü niyet göstergesi sayılır.
Soru 4: Türkiye’de mahkemelerde PDF/EXIF meta veri raporu hangi şartlarda “Uzman Tanını” olarak kabul edilir?
CMK Madde 62-63 ve 293 çerçevesinde; uzman, “ilmi haller” (bilimsel yöntem) kullanarak yargıçın anlayamayacağı teknik konuları açıklamalıdır. Pratikte; 1) Uzmanın alanında lisans/yüksek lisans/doktora ve/veya uluslararası sertifikası (GCFA, GASF, EnCE, CCE) olması, 2) Kullanılan araçların (EnCase, FTK, Axiom, Açık kaynak: pdfid, ExifTool) NIST CFReDS veri setleri ile valide edilmiş (doğrulanmış) olması, 3) Analiz sürecinin “Chain of Custody” (Kanıt Zinciri) formları, hash kayıtları (SHA-256) ve zaman damgalı ekran görüntüleri ile belgelenmesi, 4) Raporda “Yöntem -> Bulgul -> Sonuç” hiyerarşisi, belirsizlik dereceleri (High/Medium/Low Confidence) ve alternatif hipotezlerin reddedilmesi yer alması zorunludur. KVKK uyumluluğu (Kişisel veri maskelenmesi) raporun reddedilmemesi için şarttır.
Soru 5: Dijital parmak izi (PRNU) analizi mahkemede “Bireysel Kanıt” (Individual Evidence) mi “Sınıf Kanıtı” (Class Evidence) mı sayılır?
Bilimsel literatürde (Lukas, Fridrich, Goljan – IEEE TIFS 2006) ve mahkeme kararlamalarında (US Federal Courts, Daubert Standard); PRNU, Sınıf Kanıtı (Class Evidence) olarak kabul edilir; yani “Bu fotoğraf bu marka/model kameradan çekilmiş olabilir” der. Ancak, Bireysel Kanıt (Individual Evidence) niteliği kazanması için; analiz edilen cihazın fiziksel eldeki olması ve aynı ayarlarla (ISO, focal length, compression) çekilmiş referans görüntülerle (Flat-field / Natural images) istatistiksel olarak anlamlı korelasyon (PCE > 60, p-value < 0.001) kanıtlanması gerekir. Sadece internetten indirilen bir fotoğrafın PRNU’su ile veritabanı eşleşmesi “Olasılıksal Bağlantı” verir, kesin kanıt oluşturmaz. Türkiye uygulamasında ise uzman raporu “Bu cihazdan çekilmiştir” diliyle yazılırsa savcı/mahkeme bu iddiayı sorgulamalıdır.
Soru 6: Metadata analizi maliyeti nasıl hesaplanır ve “Hızlı Tarama” ile “Derin Adli Analiz” farkı nedir?
Maliyet; Uzman Saat Maliyeti (2024 Türkiye piyasası: 1.500 – 4.000 TL/saat) x Tahmini Süre + Araç Lisans Payı + Raporlama/İfade Maliyeti formülüyle hesaplanır.
* Hızlı Tarama (Triage – L1): pdfid, exiftool, strings, sha256sum komutları ile 15-30 dakika. Maliyet: ~3.000-8.000 TL. Çıktı: Risk skoru, şüpheli nesne listesi, hash kaydı. Haber ajansları için “Publish/No-Publish” kararı için yeterlidir.
* Derin Adli Analiz (Deep Forensics – L2/L3): Yapısal parsing (PDF Object Graph), Incremental Update rekonstruksiyonu, PRNU/ELA/JPEG Quantization Table analizi, Timeline construction (MFT/Journal/XMP), Anti-forensics detection, Uzman raporu (Mahkeme standardında). Süre: 8-40 saat. Maliyet: 25.000 – 150.000 TL+. Yargı süreci, ihbar veya kurumsal ihlal soruşturması için zorunludur.
Bolum 9: Temel Terimler Sozlugu
PRNU (Photo-Response Non-Uniformity – Foto-Tepki Düzensizliği): Görüntü sensörlerinin (CMOS/CCD) üretim toleranslarından kaynaklı, piksel bazındaki hassasiyet farklılıkları tarafından oluşan, görüntüye eklenen benzersiz, deterministik gürültü deseni. Cihaz parmak izi (Sensor Fingerprint) olarak kullanılır.
Incremental Update (Artımlı Güncelleme): PDF spesifikasyonunda, dosyanın sonuna yeni nesneler, güncellenmiş çapraz referans tablosu (xref) ve yeni bir trailer ekleyerek, dosya içeriğini baştan yazmadan değiştiren mekanizma. Belge geçmişini (version history) dosya içinde saklar.
XMP (Extensible Metadata Platform): Adobe tarafından geliştirilen, RDF/XML tabanlı, ISO 16684-1 standardize edilmiş meta veri çerçevesi. PDF, JPEG, PNG, TIFF gibi formatların içine gömülebilir; Dublin Core, IPTC, EXIF şemalarını destekler.
ELA (Error Level Analysis – Hata Seviyesi Analizi): JPEG dosyasının bilinen bir kalite faktörüyle (örn. QF=90) yeniden sıkıştırılarak orijinalle fark görüntüsünün (error map) incelenmesi. Yeniden sıkıştırmaya dayanıklı alanlar (orijinal) vs yeni düzenlenmiş alanlar (yüksek hata) ayrımı yapar.
Chain of Custody (Kanıt Zinciri / Güvenlik Zinciri): Dijital kanıtın toplanmasından mahkemeye sunulmasına kadar, kim tarafından, ne zaman, hangi araçla, hangi hash değeriyle ele alındığını belgeleyen, kesintisiz kayıt süreci. Zincirin kırılması kanıtın reddedilmesine yol açar.
C2PA (Coalition for Content Provenance and Authenticity): Adobe, Microsoft, BBC, Intel vb. tarafından kurulan, dijyal medyanın menşe (provenance) bilgisini kriptografik imzalarla (Manifest) dosya içine gömme standardı (ISO 21617). İçerik kimlik doğrulaması için endüstri standardı haline gelmektedir.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Belge gazeteciliğinde meta veri analizi, artık opsiyonel bir “araştırma tekniğinden” çıkarılamaz bir “mühendislik disiplinine” evrilmiştir. PDF’in yapısal derinliği (Incremental Updates, XMP/Info çelişkileri, Font subsetting), EXIF’in coğrafi/zeitgebersel kanıt gücü (GPS, Timezone, PRNU) ve C2PA/Blockchain tabanlı yeni provenance standartları; habercinin “İddia” ile “Kanıt” arasındaki boşluğu kapatmaktadır. Stratejik çıkarımlar şunlardır: 1) Entegrasyon: Haber odaklı “Triage” (L1) yeteneği her editörde, uzman “Deep Forensics” (L2/L3) ise merkezi bir “Veri ve Doğrulama Biriminde” (Data & Verification Unit) olmalıdır. 2) Standartlaşma: ISO 27037/27041 ve NIST SP 80
