Dijital delilde hash değeri neyi kanıtlar

Dijital veriler iz bırakmadan değiştirilebilir. Bu yüzden bir diskin ya da telefonun incelenmesinde ilk adım, verinin birebir kopyasını almak ve bu kopyanın sonradan değişmediğini doğrulayabilecek bir değer üretmektir. Bu değere hash, Türkçede özet değeri denir.

Hash değeri nasıl çalışır

Bir hash algoritması, hangi büyüklükte olursa olsun bir veriyi sabit uzunlukta bir karakter dizisine dönüştürür. Verideki tek bir bitin değişmesi, bambaşka bir özet üretir. Aynı veri ise her hesaplamada aynı özeti verir.

SHA-256("delil")  = da2dbbbb…8107e849
SHA-256("delil.") = e398b227…0a3bbee1

Uygulamada MD5, SHA-1 ve SHA-256 algoritmalarıyla karşılaşılır. MD5 ve SHA-1 için aynı özeti veren farklı veriler üretilebildiği gösterilmiştir; bu nedenle güncel incelemelerde SHA-256 gibi daha güçlü bir algoritmanın tek başına ya da diğerleriyle birlikte kullanılması yerleşik uygulamadır.

İmaj alma ve doğrulama

Kaynak cihaz, üzerine yazmayı engelleyen bir donanım ya da yazılım aracılığıyla bağlanır ve birebir kopyası (imajı) alınır. İşlem sırasında kaynağın özeti hesaplanır; işlem bitince kopyanın özeti yeniden hesaplanıp karşılaştırılır. İki değer aynıysa kopya kaynağın aynısıdır.

Ceza Muhakemesi Kanunu’nun 134. maddesi, bilgisayarlarda arama, kopyalama ve elkoymaya ilişkin usulü düzenler; yedekleme yapılmasını ve kopyadan bir örneğin şüpheliye ya da vekiline verilmesini öngörür. Özet değerinin tutanağa yazılması, sonradan yapılacak her doğrulamanın dayanağıdır.

Hash değeri neyi kanıtlar, neyi kanıtlamaz

Soru	Hash yanıt verir mi
Kopya, alındığı andan beri değişti mi?	Evet
İncelenen kopya, tutanaktaki kopyayla aynı mı?	Evet
Veri, kopya alınmadan önce değiştirildi mi?	Hayır
Dosyayı kim, ne zaman oluşturdu?	Hayır
İçerik gerçeği yansıtıyor mu?	Hayır

Özet değeri bir bütünlük mührüdür; mührün vurulduğu andan sonrasını güvence altına alır. Öncesi, cihazın ele geçirilme biçimi, saklama koşulları ve zaman damgaları gibi başka verilerle değerlendirilir.

Sık karşılaşılan sorunlar

• Özet değerinin olay yerinde değil, günler sonra hesaplanması.
• Tutanakta algoritmanın belirtilmemesi ya da değerin eksik yazılması.
• Cihazın yazma koruması olmadan açılması; işletim sisteminin açılışı bile veriyi değiştirir.
• Yalnızca seçilen dosyaların kopyalanması ve bunun bütün diskin imajı gibi sunulması.

Sonuç

Hash değeri, dijital delilin güvenilirliği için gerekli ama tek başına yeterli olmayan bir koşuldur. Değerin ne zaman, hangi araçla ve kimin huzurunda hesaplandığı, en az değerin kendisi kadar önemlidir.