Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Belge gazeteciliğinde meta veri analizi, dijital kanıtların özelliğini, kökenini ve bütünlüğünü doğrulamak için kullanılan sistematik bir adli bilişim disiplinidir. Bu yaklaşım, dosya sistemleri, belge formatları (özellikle PDF/XPS) ve gömülü medya nesneleri (resim, ses, video) içinde yer alan gizli veri katmanlarını hedefler. Ontolojik çerçeve, verinin “veri hakkında veri” (data about data) tanımını aşarak, belgenin yaşam döngüsü (oluşturma, düzenleme, dönüştürme, dağıtım) boyunca izlediği yolu ve üzerinde etki eden aktörleri (yazar, yazılım, donanım, zaman) yeniden inşa etmeyi amaçlar. Metodolojik olarak; statik analiz (dosya yapısı, header/trailer), dinamik analiz (çalışma zamanı davranışı) ve çapraz referanslama (harici kaynaklarla zaman damgası/konum doğrulaması) üçgenini temel alır. Temel parametreler; dosya imzaları (Magic Bytes), XMP/EXIF/IPTC blokları, artık veriler (redaction artifacts), yazılım kimlikleri (Producer/Creator) ve şifreleme/imza yapılarıdır. Bu disiplin, haberciliğin “doğrulama” yükümlülüğünü teknik kanıt standardına yükseltir.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Mekanizma, dosya formatlarının (ISO 32000-1/2 for PDF, Exif 2.31 for JPEG) spesifikasyonlarına dayalı olarak, bayt seviyesinde (byte-level) veri çıkarımı ve yorumlaması üzerine kuruludur. PDF yapısında; gövde (body), çapraz referans tablosu (xref), trailer ve artık nesneler (incremental updates) hiyerarşisi, belgenin düzenleme geçmişini (versioning) fiziksal olarak saklar. Her “Save As” veya artımlı güncelleme (incremental save), önceki durumu silmez, yalnızca yeni bir xref ve trailer ekler; bu da adli geri kazanım (file carving) için kritik bir “yankı” bırakır. EXIF verilerinde ise TIFF tabanlı IFD (Image File Directory) yapısı, kamera modeli, lens, GPS koordinatları, yönlendirme (Orientation) ve yazılım işleme geçmişi (Software tag) gibi deterministik alanları barındırır. Dijital parmak izi (hash: SHA-256, ssdeep/fuzzy hashing) oluşturma mekanizması, dosyanın bit düzeyindeki benzersizliğini matematiksel olarak kilitleyerek, tek bitlik bir değişiklikte (metadata strip, re-save) tespit edilebilir bir kopruk (avalanche effect) sağlar. Sebep-sonuç ilişkisi; yazılım aracısının (LibreOffice, Adobe Acrobat, Ghostscript, pdftk) kodlama mantığına göre meta veriyi yazma/okuma/silme davranışının deterministik olmasına dayanır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Uluslararası standartlar; ISO 27037 (Dijital Kanıt Toplama), ISO 17025 (Laboratuvar Yeterliliği), NIST SP 800-86 (Adli Bilişim Analizi) ve SWGDE (Bilimsel Çalışma Grubu Dijital Kanıt) en iyi uygulamaları metodolojik iskeleti oluşturur. Türkiye’de TÜBİTAK BİLGEM ve Emniyet Genel Müdürlüğü KOM şartnameleri ulusal referans teşkil eder. Analiz protokolü; “Yazılımla Yazma Engelli (Write Blocker)” donanımı ile orijinal ortamın korunduğu “Görüntü Alma (Imaging)” (E01/RAW/AFF4 formatında) ile başlar. Zincir Hiyerarşisi (Chain of Custody) formları, hash doğrulaması (MD5/SHA256) ile her aşamada belge edilir. PDF için; pdfid.py, pdf-parser.py (Didier Stevens), peepdf, mutool (MuPDF) araçları ile nesne akışı, JavaScript/Launch aksiyonları, /EmbeddedFiles, /AcroForm alanları incelenir. EXIF için; exiftool (Phil Harvey) altın standardır, makernote (üretici özel etiketler) çözümlemesi yapılır. Zaman damgası analizi (NTFS $STANDARD_INFORMATION vs $FILE_NAME, EXIF DateTimeOriginal vs ModifyDate) tutarsızlıkları (timestamp stomping) tespit etmek için çapraz doğrulanır. Raporlama; “Bulgular, Çıkarımlar, Kanıt Değeri” üçlemesiyle yapılır.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| Dosya Bütünlüğü (Hash) | SHA-256 / SHA-3 / ssdeep | Bit düzeyinde eşleşme %100 / Benzerlik %99+ | Kanıt kabul edilebilirliği, sürüm takibi |
| PDF Sürüm Geçmişi | Incremental Update Sayısı | xref/Trailer sayısı (Integer) | Düzenleme sayısı, zaman çizelgesi yeniden inşası |
| XMP/Metadata Akışı | RDF/XML Geçerlilik (Schema.org) | XML Parsing Hatası Sayısı | Yazılım kimliği, lisans, hak bilgisi doğrulama |
| EXIF GPS Verisi | WGS84 Koordinat Hassasiyeti | Derece/Dakika/Saniye / Ondalık Derece | Coğramsal doğrulama (Geolocation), sahtecilik tespiti |
| Zaman Damgası Tutarlılığı | FS vs Metadata vs EXIF | Saniye/Fark (Delta t) | “Timestamp Stomping” / Backdating tespiti |
| Yazılım Özniteliği | Producer / Creator / Software Tag | String Eşleşmesi / Veritabanı Karşılaştırması | Araç takibi (örn. Photoshop vs ExifTool strip) |
| Gömülü Nesne Sayısı | /EmbeddedFiles / XObject Count | Adet (Integer) | Gizli veri sızıntısı, kötü amaçlı payload riski |
| JavaScript / Aksiyon Varlığı | /JS / /Launch / /URI Actions | Boolean / Sayısal | Aktif içerik riski (CVE exploit, beaconing) |
| Redaksiyon Kalıntıları | Metin/Resim Artıkları (Ghost Text) | Karakter/Piksel Sayısı | Hassas bilgi sızıntısı (PII, sınıflandırılmış veri) |
| Printer/Scanner Forensics | Noise Pattern (PRNU) / Dots | Korelasyon Katsayısı (0-1) | Cihaz kimliği (Source Camera/Printer Identification) |
| Şifreleme / İzinler | /Encrypt / Perms (Print/Copy/Modify) | Bitmask Değeri (örn. -4 / -1028) | Erişim kontrolü zayıflığı, yetkisiz çıkarma |
| Yazı Tipi Gömmülü Durumu | Embedded / Subset / System Fonts | Yazı Tipi Sayısı / Lisans Durumu | Belge taşınabilirliği, yazı tipi takibi (Font Forensics) |
| Hata Oranı / Anomali Skoru | Otomatik Araç Çıktısı (pdfid/peepdf) | Skor (0-100) / Kural İhlali Sayısı | Önceliklendirme (Triage), derin analiz kararı |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Saha uygulamalarında; “Panama Papers” ve “Pandora Papers” sızdırımlarında meta veri temizlenmemiş offshore şirket kayıtları, gerçek sahiplikleri (Beneficial Owners) ortaya çıkarmada kilit rol oynamıştır. Türkiye’deki “FETÖ/PDY” dosyalarında, iddianamelerde delil olarak sunulan dijital belgelerin (Word/PDF) “Author” alanı, “Last Modified By” ve “Creation Date” alanları, belgeyi hazırlayan polis/savcı bilgisayarının kullanıcı profiliyle çaprazlanarak delil zinciri güçlendirilmiştir. Askeri darbe girişimi iddianamelerinde (örn. Balyoz, Ergenekon), CD’lerdeki belgelerin metadata analizi (OLE Compound File yapısı), belgelerin olay tarihlerinden sonra oluşturulduğunu (backdating) kanıtlamak için kullanılmış, mahkemelerde “sistem saati manipülasyonu” savunması metadata tutarsızlıklarıyla çürütülmüştür. Savaş suçları belgelerinde (Suriye/Ukrayna); uydu görüntülerinin EXIF GPS verileri ve kamera sensör parmak izi (PRNU), çekim yerinin ve zamanının doğrulanmasında, deepfake tespitinde referans veri olarak hizmet eder. Kurumsal sızıntı araştırmalarında (Insider Threat); DLP (Data Loss Prevention) sistemleri, belgeye gizli su işareti (watermark) veya benzersiz metadata (User ID) enjekte ederek, sızdırılan PDF’in kaynağını (hangi çalışan, hangi yazıcı) dakikalar içinde tespit eder.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Operasyonel darboğazlar; öncelikle “Anti-Forensics” araçları (Mat2, ExifTool strip, PDF Redaction tools, qpdf --linearize) tarafından meta verilerin kasıtlı olarak temizlenmesi veya sahte verilerin enjekte edilmesi (Metadata Spoofing) riskidir. İkinci risk; “Linearization” (Fast Web View) veya “Ghostscript” dönüşümleri sırasında artık nesnelerin (incremental updates) yok edilmesiyle revizyon geçmişinin kaybıdır. Üçüncüsü; şifreli PDF’lerde (AES-256) parola kırma (brute-force/dictionary) yasal süresizliğinde kalmasıdır. Dördüncü; “Printer Dots” (Machine Identification Code – MIC) gibi donanım seviyesi parmak izlerinin, yüksek çözünlüklü tarama (600+ DPI) ve spektral analiz (mavi/yeşil kanalları) gerektirmesi, standart ofis tarayıcılarla yakalanamamasıdır. Beşinci; yasal çerçeve (KVKK, 5651 Sayılı Kanun, CMK Madde 116/134) gereği, özel hayat verisi (GPS, User ID) içeren meta verilerin habercilik amacıyla işlenmesinde “örneklendirme” ve “anonimleştirme” dengesinin kurılması zordur. Çözüm yolları; orijinal dosya hash’inin noterde/blokzincirde (timestamping) kaydedilmesi, birden fazla araçla (ExifTool, pdf-parser, custom scripts) çapraz doğrulama, “Known Good” yazılım davranış veritabanları (NIST NSRL/RDS) ile Producer/Creator string’lerinin karşılaştırılması ve yasal danışmanlık eşliğinde “halkın haberdar olma hakkı” ile “kişisel verilerin korunması” kavisinin çözümlenmesidir.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son gelişmelerde; LLM (Large Language Models) tabanlı “Metadata Hallucination” riski (yapay zeka üretilen belgelerin sahte metadata üretilmesi) ve buna karşı “Content Credentials” (C2PA – Coalition for Content Provenance and Authenticity) standardının (Adobe, Microsoft, BBC, NYT liderliğinde) yaygınlaşması öne çıkmaktadır. C2PA, kriptografik imzalı manifest (CBOR/COSE) ile belgenin kökenini (kamera, yazılım, edit geçmişi) değiştirilemez bir zincirde saklar. Blockchain tabanlı zaman damgalama (OpenTimestamps, OriginStamp) merkezi otorite (noter/TSA) bağımlılığını azaltmaktadır. PRNU (Photo-Response Non-Uniformity) analizi, derin öğrenme (CNN) modelleri ile sensör parmak izi çıkarma hassasiyetini artırmakta, “Sensor Fingerprint Spoofing” saldırılarına karşı robustluk kazandırmaktadır. PDF 2.0 (ISO 32000-2) ile gelen “Associated Files” ve “Output Intents” yapıları, gömülü dosya takibini standartlaştırmıştır. Gelecek 5-10 yılda; “Zero-Trust Document Architecture” norm olacak, her belge kendi yaşam döngüsü kanıtını (Verifiable Credentials) taşıyacaktır. Kuantum dayanıklı imza algoritmaları (CRYSTALS-Dilithium, Falcon) uzun vadeli belge bütünlüğü için entegre edilecektir. Haberciler için “Metadata Literacy” (Meta Veri Okuryazarlığı) temel bir editöryel beceri haline gelecektir.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: PDF dosyasından meta veri silinirse (scrubbing), belge aslına döndürülebilir mi?
Hayır. Standart dosya sistemleri (NTFS, ext4, APFS) “unlink” veya üzerine yazma (overwrite) olmadığı sürece silinen meta veriyi (artık xref/trailer blokları) fiziksel olarak diskten silmez; ancak qpdf --linearize veya Ghostscript gibi yeniden yazma (rewrite) operasyonları, dosya yapısını baştan oluşturduğu için artık geçmişi (incremental updates) kalıcı olarak yok eder. Kurtarma yalnızca disk imajı (forensic image) üzerinde file carving (scalpel/foremost) ile olasıdır.
Soru 2: EXIF verisi “Photoshop 2024” diyorsa bu belge sahte mi?
Kesinlikle hayır. “Software” etiketi (Tag 0x0131), dosyayı en son kaydeden uygulamanın adını yazar. Orijinal bir RAW dosya Photoshop’ta açılıp “Save As” yapıldığında bu etiket güncellenir. Kritik analiz; DateTimeOriginal (çekim zamanı) ile ModifyDate (düzenleme zamanı) ve CreateDate (dosya sisteminde oluşturma) arasındaki mantıksal tutarlılıktır. Eğer DateTimeOriginal 2020, ModifyDate 2024 ise bu normal bir iş akışıdır; ancak DateTimeOriginal 2024, ModifyDate 2020 ise kronolojik imkansızlık (anomali) vardır.
Soru 3: Yazdırılan bir belgenin kaynağı (hangi yazıcı) nasıl bulunur?
Renkli lazer yazıcılar (Xerox, Canon, HP, Epson) neredeyse hepsi “Machine Identification Code” (MIC) adı verilen, göze görünmeyen sarı toner noktalarını (yaklaşık 1mm grid) sayfaya basar. Bu noktalar; yazıcı seri numarası, tarih, saat kodlar. 600+ DPI mavi/yeşil kanallı tarama ve EFF’nin “Seeing Yellow” aracı veya özel MATLAB/Python scriptleri ile çözülebilir. Mürekkep püskürtmeli (inkjet) yazıcılarda bu standart yoktur, ancak basma kafası nozzle varyasyonları (banding) ile cihaz ayrımı (PRNU benzeri) yapılabilir.
Soru 4: “Redaction” (Karalama) yapılmış PDF’ten metin çalınabilir mi?
Evet, yaygın bir hata. Adobe Acrobat “Redact” aracı düzgün kullanılırsa (Apply Redaction) metin vektörleri silinir ve rasterize edilir. Ancak; kullanıcı sadece “Comment/Markup” aracıyla siyah dikdörtgen çizerse (Graphic State), altındaki metin vektörleri (Text Rendering Mode) PDF yapısında kalır. pdftotext veya pdf-parser ile metin akışı (Tj/TJ operatörleri) çıkarılır. Ayrıca “Copy/Paste” engeli (Permissions) sadece viewer uygulamaları için geçerlidir, parser’lar için geçerli değildir.
Soru 5: Bir belgenin “Creation Date” sahteleştirilmesi (backdating) nasıl tespit edilir?
Çapraz doğrulama ile. 1) Dosya Sistemi Metadata: NTFS $STANDARD_INFORMATION (SI) ve $FILE_NAME (FN) attribute’ları. SI kullanıcı modunda değiştirilebilir (SetFileTime API), FN kernel modu gerektirir (daha zor). SI < FN anormalliği kanıttır. 2) PDF İç Yapı: /CreationDate vs /ModDate vs xref zincirindeki ilk nesne oluşturma mantığı. 3) Harici Kanıt: E-posta gönderim başlıkları (Received headers), sunucu logları, bulut depolama (Google Drive/OneDrive) versiyon geçmişi, blockchain timestamp. Bu kaynaklardan en az ikisi çelişiyorsa backdating kanıtlanır.
Soru 6: Haber ajansı olarak aldığımız anonim belgelerin güvenliğini nasıl sağlarız?
“Air-gapped” (hava boşluğunda) bir analiz istasyonu (Linux, Tails OS veya REMnux/SANS SIFT) kurun. Orijinal dosyayı yazma engelli (hardware write blocker) ile kopyalayın. Hash’leyin (SHA256). mat2 veya exiftool -all= ile meta veriyi temizleyin (scrub). qpdf --linearize ile yapıyı normalize edin (linearize). Görsel içerik varsa ImageMagick ile yeniden kodlayın (re-encode/strip). Sonucu “Clean” klasöre kaydedin, orijinali “Evidence” kasasında muhafaza edin. Editöryel süreçte sadece “Clean” kopya kullanılır.
Bolum 9: Temel Terimler Sozlugu
Artımlı Güncelleme (Incremental Update): PDF spesifikasyonunda, dosyanın baştan yazılmadan, sadece değişikliklerin (yeni nesneler, yeni xref, yeni trailer) dosya sonuna eklenmesiyle kaydedilmesi yöntemi. Belgenin tam revizyon geçmişini dosya içinde saklar.
PRNU (Photo-Response Non-Uniformity): Görüntü sensörlerinin (CCD/CMOS) piksel düzeyindeki üretim hatalarından kaynaklanan, her sensöre özgü, deterministik gürültü deseni. “Sensör Parmak İzi” olarak da bilinir, cihaz kimliklendirmesinde kullanılır.
XMP (Extensible Metadata Platform): Adobe tarafından geliştirilen, RDF/XML tabanlı, dosya formatından bağımsız meta veri saklama standardı. PDF, JPEG, PNG, TIFF içinde paketlenir. Dublin Core, IPTC, XMP Rights Management şemalarını barındırır.
Lineerleştirme (Linearization / Fast Web View): PDF dosyasının, bayt akışı (byte-serving) ile sayfa sayfa indirilebilir hale getirilmek için yeniden yapılandırılması (optimize). Bu işlem artık nesneleri (revizyon geçmişini) yok eder.
Zaman Damgası Manipülasyonu (Timestamp Stomping / Timestomping): Dosya sistemindeki $STANDARD_INFORMATION zaman damgalarının (MACE: Modified, Accessed, Created, Entry Modified) API çağrılarıyla (SetFileTime) kasıtlı olarak değiştirilerek adli analizleri yanıltma saldırısı.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Meta veri analizi, belge gazeteciliğinin “gizli tanığı”dır; gözlemlenemeyen süreci, görülebilir kanıta dönüştüren tek teknik yol haritasıdır. Bu analiz, PDF’in hiyerarşik nesne modelinden EXIF’in TIFF tabanlı etiket yapısına, dosya sisteminin zaman damgalarından yazıcı nokta kodlamasına kadar uzanan bir spektrumu kapsar. Stratejik çıkarımlar şunlardır: 1) Orijinalite Kutsal Dir: Her analiz, yazma engelli donanımla alınan ham disk imajı (E01/RAW) üzerinde yapılmalı, orijinal asla dokunulmamalıdır. 2) Tek Araç Yeterli Değildir: ExifTool (meta veri), pdf-parser (yapı), peepdf (JS/aksiyon), qpdf (sözdizimi), bulk_extractor (artefakt) çoklu araç zinciri (tool chaining) ile yanlış pozitif/negatif minimize edilir. 3) Bağlam (Context) Kraldır: Tek bir “Author: John Doe” alanı delil değildir; ancak “Author: John Doe” + “CreationDate: 2023-01-01” + “Printer MIC: SN12345” + “Email Header: Received from John Doe IP” birleştiğinde “Yüksek Güvenilirlikli Kanıt” (High Confidence Evidence) olur. 4) Yasal ve Etik Çerçeve Şart: KVKK/5651 uyumlu anonimleştirme, C2PA standartlarına geçiş ve kuantum dayanıklı zaman damgalama (RFC 3161 + PQC) kurumsal politika olmalıdır. Karar vericiler için yol haritası: “Meta Veri Okuryazarlığı” eğitimi zorunlu kılın, adli laboratuvar yetkinliği (ISO 17025) sağlanın, her haberi “Meta Veri Doğrulama Raporu” ile yola çıkarın. Bu disiplin, bilgi kaosunda gerçeğin son kaleleridir.
