Dijital delil incelemesi, uzman görüşü ve yazılım geliştirme

Adli bilişim: hangi kayıtları inceliyoruz?

Operatörden gelen HTS dökümlerini, IP ve CGNAT eşleşmelerini, sunucu kayıtlarını (log), telefon ve bilgisayar içeriğini, e-postaları, veri tabanlarını ve belgelerin üst verisini (metadata) inceliyoruz. Ham madde çoğu zaman sıradan bir dosyadır: bir erişim kaydı, telefon yedeğindeki mesaj veri tabanı, bir e-postanın Received: satırları.

Soru ise hep somuttur. Operatörün bildirdiği IP–abone eşleşmesi port ve saat bilgisiyle tutarlı mı? Fotoğraftaki DateTimeOriginal değeri dosyanın diğer izleriyle uyuşuyor mu? "IBAN'ımız değişti" e-postası gerçekten tedarikçinin sunucusundan mı çıktı? Bazen cevap kayıtta yoktur. O zaman raporda bunu yazarız ve hangi kaydın cevabı verebileceğini söyleriz.

Yalnızca hukuka uygun yoldan elde edilmiş kayıtlarla ya da size ait cihaz ve hesaplarla çalışırız. On üç inceleme alanının tamamı adli bilişim incelemeleri sayfasında.

Uzman görüşü, bilimsel mütalaa ve bilirkişi raporları

Uzman görüşü, yargılamanın bir tarafının teknik bir meseleyi kendi seçtiği uzmana inceletip dosyaya sunduğu yazılı değerlendirmedir. Dayanağı hukuk yargılamasında HMK m.293, ceza yargılamasında CMK m.67/6 hükmüdür. CMK'daki fıkra, bilimsel mütalaanın "bilirkişi raporu hakkında" da alınabileceğini açıkça yazar.

Bilirkişiyi ise mahkeme ya da savcılık görevlendirir. Bir taraf bilirkişi tutamaz, yalnızca bilirkişi incelemesi yapılmasını talep edebilir (HMK m.266, CMK m.63). Biz bilirkişi değiliz; dosyadaki bir bilirkişi raporunu tarafın uzmanı olarak okuruz. İlk baktığımız yerler genellikle şunlardır:

• İncelenen kopyanın özet değeri (hash) kaydedilmiş mi?
• Saat dilimi. Telefon imajındaki kayıtlar çoğunlukla UTC ile, operatör kayıtları çoğunlukla Türkiye saatiyle gelir; ikisini karşılaştıran bir rapor hangi dönüşümü yaptığını yazmak zorundadır.
• Baz istasyonu kaydı konum kanıtı gibi mi okunmuş?
• Hattın abonesi, telefonu kullanan kişiyle aynı kişi sayılmış mı?

Uzman görüşü mahkemeyi bağlamaz; mahkeme onu bilirkişi raporu ve dosyadaki diğer delillerle birlikte değerlendirir. İki belgenin farkı ayrı bir yazıda: uzman görüşü ile bilirkişi raporu arasındaki fark.

Kimlerle çalışıyoruz?

Bize yazanların çoğu dört gruptan birindedir. Tablodaki sorular tipik örneklerdir, gerçek dosyalardan alınmamıştır.

Bir inceleme nasıl başlar ve ilerler?

Dört adımda: ilk e-posta, ön değerlendirme, inceleme ve rapor.

1. İlk e-posta. destek@md9.net adresine dosyanın türünü (ceza, hukuk, iş, şirket içi), cevaplanmasını istediğiniz teknik soruyu, elinizdeki materyalin türünü ve yaklaşık hacmini, varsa süreyi yazın. Orijinal delili ve kişisel verileri bu mesaja eklemeyin.
2. Ön değerlendirme. Materyalin soruya cevap vermeye yetip yetmediğini söyleriz. Örnek: CGNAT arkasındaki bir bağlantıda kaynak port, hedef IP ve saniye düzeyinde zaman bilgisi yoksa, aynı IP adresini paylaşan aboneler arasından birine inmek çoğu zaman mümkün olmaz. Böyle bir durumda eksik kaydın ne olduğunu ve neden gerektiğini yazarız. Çıkar çatışması kontrolünden sonra kapsam, süre ve ücret yazılı olarak netleşir.
3. İnceleme. Materyal güvenli bir yolla gelir, teslimde özet değeri (ör. SHA-256) hesaplanıp kaydedilir ve çalışma doğrulanmış bir kopya üzerinde yapılır. Kullanılan araç, sürümü ve her işlem adımı not edilir.
4. Rapor. Kapsam, materyal, yöntem, bulgular, sınırlılıklar ve sonuç bölümlerinden oluşur. Raporu dosyaya siz ya da avukatınız sunar. Mahkeme, raporu hazırlayan uzmanın duruşmada dinlenmesine karar verebilir (HMK m.293/2; ceza yargılamasında istem üzerine, CMK m.68/3).

Delil teslimi, saklama, iade ve imha kuralları çalışma ilkelerimizde adım adım yazılı.

Neden md9?

Çünkü raporlarımızı dört kurala göre yazarız ve her birinin tutulup tutulmadığını raporun kendisinden denetleyebilirsiniz.

Yöntem

Her bulgunun hangi dosyadan, hangi araçla ve hangi adımla çıktığı yazılır. Aynı materyali alan başka bir uzman aynı yoldan aynı sonuca ulaşabilmelidir.

Bağımsızlık

Bulguyu veri belirler, işi veren taraf değil. Kayıtlar beklediğiniz şeyi göstermiyorsa bunu rapordan önce söyleriz.

Gizlilik

Materyal yalnızca o iş için kullanılır; iş bitince baştan kararlaştırıldığı gibi iade edilir ya da silinir.

Sınırlılık

"Bu kayıt şunu gösteremez" raporlarımızda ayrı bir bölümdür. Bizce bir raporun en çok işe yarayan kısmı da çoğu zaman burasıdır. Baz istasyonu kaydı telefonun hangi hücreye bağlandığını gösterir, kişinin belirli bir adreste bulunduğunu tek başına göstermez. Yargıtay'ın da baz sinyalini tek başına yeterli görmediği kararları var (ör. 2. Ceza Dairesi, E.2019/14274, K.2020/2085).

Yazılım, web ve mobil uygulama geliştirme

Özel iş yazılımı, iOS ve Android uygulamaları, API ve entegrasyon, kurumsal web sitesi, teknik SEO ve yapay zekâ aramalarında görünürlük (GEO) üzerinde çalışıyoruz. Yazılım uyuşmazlıklarını inceleyen taraf olduğumuz için kodu sonradan okunabilecek biçimde kurarız: kimin neyi ne zaman değiştirdiğini tutan denetim kaydı (audit log), UTC olarak saklanan zaman damgaları, geçmişi belli bir kod deposu ve teslimden önce yazılmış kabul kriterleri. Bir uyuşmazlıkta teknik incelemeyi en çok zorlayan şey bu kayıtların yokluğudur. Ayrıntılar yazılım geliştirme bölümünde.

Ürünler: UDF Mobil (md9)

UDF Mobil (md9), UYAP evrakının .udf dosyalarını bilgisayara gerek kalmadan iPhone'da açan uygulamamızdır; belgeyi düzenler, PDF'e ve Word'e çevirir. Belgeler cihazda işlenir, sunucuya gönderilmez. Uygulama T.C. Adalet Bakanlığı veya UYAP ile bağlantılı değildir. İmza özelliği belgeye görsel bir imza ekler, güvenli elektronik imza yerine geçmez.

Android sürümü yok; Android telefonda ve bilgisayarda UDF belgesini okumak için tarayıcıda çalışan UDF görüntüleyicimiz var. Uygulamanın neyi yapıp neyi yapmadığı ürünler bölümünde ayrıntılı.

Bilgi merkezi: kaynaklı teknik yazılar

Bilgi merkezindeki yazılar, dosyalarda sık çıkan teknik soruları (IP adresi kişiyi gösterir mi, ekran görüntüsü delil olur mu, HTS kaydında ne yazar) kanun maddesine, Yargıtay kararına ya da RFC gibi birincil kaynağa bağlayarak anlatır. Her yazıda kaynak listesi ve son güncelleme tarihi var. Başlamak için altı yazı:

Diğer yazılar, terimler sözlüğü ve mevzuat listesi bilgi merkezinde.

Tarayıcıda çalışan ücretsiz araçlar

Bu araçlar dosyanızı hiçbir yere yüklemez; hesaplama tarayıcınızda yapılır. Bir dosyanın SHA-256 değerini almak, e-posta başlığındaki Received: satırlarını sıraya dizmek, bir kayıttaki Unix zaman damgasını okunur tarihe çevirmek ya da bir IP adresinin CGNAT için ayrılmış paylaşımlı adres alanında (100.64.0.0/10) olup olmadığını görmek için kullanabilirsiniz. Bir aracın çıktısı delilin yerine geçmez; incelemenin başladığı yerdir.