Dijital delilin bütünlüğü: imaj, hash ve zincir

Dosyaların giderek daha büyük kısmı bir telefonun içinden çıkıyor: mesajlar, konum kayıtları, fotoğraflar, uygulama verileri. Bu verilerin nasıl elde edildiği çoğu zaman ne olduğundan daha önemlidir. Aşağıdaki liste, bir bilirkişi raporunu okurken sorduğumuz soruların özetidir.

1. El koyma kararı var mı, kapsamı ne?

Bilgisayar ve telefonlarda arama ve el koyma için hâkim kararı gerekir (CMK 134). Kararın hangi cihazları ve hangi veri türlerini kapsadığı yazılı olmalıdır. Kararda olmayan bir cihazın incelenmesi ya da kararın kapsamı dışındaki verilerin dosyaya alınması, o verileri hukuka aykırı delil yapar.

2. İmaj alındı mı?

Kanun, cihaza el konulduğunda önce imaj alınmasını, incelemenin bu imaj üzerinde yapılmasını öngörür. İmaj, depolama alanının bit düzeyinde birebir kopyasıdır. Orijinal cihaz üzerinde doğrudan inceleme yapılmışsa, cihazın açılıp kapatılması bile veri değiştirir: son erişim tarihleri, sistem kayıtları, bazı uygulamaların senkronizasyonu. Bu durumda “veri değiştirilmedi” iddiası kanıtlanamaz.

3. Hash değeri tutanakta yazıyor mu?

İmaj alındığında hesaplanan hash değeri (MD5, SHA-1 veya SHA-256) tutanağa yazılır ve şüpheliye ya da avukatına bir kopya verilir. İnceleme başlarken bilirkişi hash değerini yeniden hesaplar; iki değer aynıysa imajın değişmediği kanıtlanmış olur. Raporda hash değeri yoksa veya tutanaktakiyle uyuşmuyorsa, rapordaki her bulgu tartışmalıdır.

4. Delil zinciri kesintisiz mi?

Cihazın kimden, ne zaman, kim tarafından alındığı; nerede saklandığı; incelemeye kim tarafından ne zaman teslim edildiği belgelenmelidir. Zincirdeki boşluklar, cihaza kimin eriştiğinin bilinmediği anlamına gelir.

5. İnceleme yöntemi yazılı mı?

İyi bir rapor, hangi yazılımla, hangi sürümle, hangi adımlarla inceleme yapıldığını ve bulguların nasıl yorumlandığını açıklar. “Cihazda şu mesajlar tespit edilmiştir” cümlesi bir sonuçtur, yöntem değildir. Yöntemi yazılı olmayan rapor tekrarlanabilir değildir; bilimsel delil için tekrarlanabilirlik temel şarttır.

6. Kullanıcı eşleştirmesi nasıl yapıldı?

Bir mesajın cihazda bulunması, onu cihaz sahibinin yazdığı anlamına gelmez. Ortak kullanılan cihazlar, bulut yedeklerinden gelen veriler, farklı hesapların aynı cihazda oturum açması gibi durumlar raporda değerlendirilmiş olmalıdır. Zaman damgaları ile HTS ve baz kayıtlarının karşılaştırılması, kullanıcıyı belirlemede tek başına rapordan daha güvenilir sonuç verir.

7. Zaman damgaları hangi saat dilimine göre?

Cihaz, uygulama ve sunucu saatleri farklı dilimlerde kaydedilebilir. Üç saatlik bir kayma, bir mesajın olaydan önce mi sonra mı yazıldığını değiştirir. Raporda saat dilimi dönüşümü açıklanmamışsa sorulmalıdır.

Ne talep ediyoruz?

Bu sorulardan birinin cevabı olumsuzsa, sırasıyla: raporun hükme esas alınmaması, imaj ve hash tutanaklarının dosyaya getirilmesi, gerekiyorsa yeniden inceleme ve bağımsız uzman görüşü. Mahkemelerin bu taleplere yaklaşımı dosyaya göre değişir; ancak talebin somut, teknik ve yazılı yapılması, reddedilse bile kanun yolu aşamasında en güçlü argümanı oluşturur.