Telefon incelemesi raporu bir dosyaya girdiğinde avukatın eline çoğu zaman iki şey geçer: birkaç yüz sayfalık bir PDF ve yanında, boyutu gigabaytları bulabilen bir .ufdr dosyası. PDF'te özet vardır; mesajların sırası, fotoğrafların kendisi, bir kaydın telefonun neresinden geldiği ise UFDR'nin içindedir. Bu yüzden UFDR'yi açmadan raporu gerçekten okumuş sayılmazsınız.
UFDR dosyası nedir?
UFDR, Cellebrite'ın telefon inceleme raporu biçimi. İnceleyici, telefondan alınan veriyi Physical Analyzer'da (2024'ten beri Inseyets.PA) açar, ilgili kayıtları seçer ve rapor biçimi olarak UFDR'yi işaretler. Ortaya çıkan pakette seçilen mesajlar, aramalar, konumlar, fotoğraf ve videolar ile bunların bilgileri bulunur. Paket Cellebrite Reader ya da Cellebrite'ın analiz platformu Pathfinder ile açılır. Belkasoft X gibi bazı başka adli programlar da UFDR okuyabiliyor.
Programın ne olduğu ve Cellebrite'ın öteki ürünleriyle ilişkisi Cellebrite nedir yazısında. Burada yalnızca dosyayı açmaya ve okumaya bakıyoruz.
Adım adım: UFDR dosyasını açmak
- Kopyayı ayırın. Size gelen diski ya da klasörü olduğu gibi saklayın, çalışmayı bir kopyası üzerinde yapın.
- Hash değerini karşılaştırın. .ufdr dosyasının SHA-256 ya da MD5 değerini hesaplayın ve tutanakta ya da raporda yazan değerle karşılaştırın. Dosyayı hiçbir yere yüklemeden bunu hash hesaplama aracıyla tarayıcınızda yapabilirsiniz. Değer tutmuyorsa dosya ya eksik kopyalanmış ya da başka bir dosya; açmaya uğraşmadan yeni kopya isteyin.
- Reader'ı bulun. Raporu hazırlayan kişi “Reader'ı ekle” seçeneğini işaretlediyse klasörde Reader'ın kendisi vardır; programı oradan çalıştırın. Yoksa Reader'ı Cellebrite'ın sitesinden indirin. Program ücretsiz.
- Dosyayı açın. Reader'ın açılış ekranından .ufdr dosyasını seçin. Büyük raporların ilk açılışı uzun sürebilir; program dosyanın içeriğini dizinliyor.
- Parola. Rapor parolalıysa Reader sorar. Parola raporu hazırlayan birimde ya da dosyanın bir başka evrakında olur.
Açılmıyorsa: sık karşılaşılan üç sebep
| Belirti | Muhtemel sebep | Ne yapılır |
|---|---|---|
| Dosya bozuk ya da geçersiz uyarısı | Kopyalama yarıda kalmış; FAT32 biçimli bir bellekte 4 GB'tan büyük dosya taşınamaz | Hash ve boyut karşılaştırması; gerekirse NTFS ya da exFAT diskle yeniden kopya |
| Rapor açılıyor ama bazı bölümler boş ya da hata veriyor | Reader'ın sürümü raporu üreten programdan eski | Reader'ın güncel sürümünü kullanmak ya da paketteki Reader'ı çalıştırmak |
| Parola ya da yetki istiyor | Rapor parolalı ya da yalnızca Cellebrite ürünleriyle açılacak şekilde kısıtlanmış | Parolayı hazırlayan birimden öğrenmek |
Raporun içinde nereye bakılır?
Reader açıldığında sol tarafta kategoriler görünür: sohbetler, aramalar, kişiler, konumlar, fotoğraflar, belgeler ve benzerleri. Her kategorinin yanında kayıt sayısı yazar. İlk yapılacak iş, bu sayıları PDF rapordaki özet tablosuyla karşılaştırmak. Tutmayan bir kategori, rapora eklenmemiş ya da yanlış süzülmüş kayıtların işareti olabilir. Sonra şunlara bakın:
- Genel bilgiler bölümü. Edinim türü, cihaz modeli, programın sürümü, saat dilimi ayarı ve rapor tarihi burada olur.
- Sohbet görünümü. WhatsApp ya da başka bir uygulamadaki yazışmayı mesaj mesaj, karşılıklı görürsünüz. PDF'te tek tek mesajlar listelenmişse bağlamı burada okumak gerekir; bir mesajın öncesi ve sonrası çoğu zaman anlamını değiştirir.
- Kaynak bilgisi. Bir kaydı seçtiğinizde ayrıntı panelinde kaydın hangi dosyadan, hangi veri tabanından geldiği yazar. Rapordaki bir bulguya itiraz edilecekse ilk bakılacak yer burası.
- Silinmiş işareti. Bazı kayıtlar “silinmiş” diye işaretlenir. Bu, kaydın veri tabanının boş alanından ya da yan dosyasından kurtarıldığını anlatır; silinme saatini göstermez.
- Saatler. Reader saatleri rapordaki ayara göre gösterir. Bir mesaj gece 03.00'te görünüyor ama gündüz atıldığı biliniyorsa, önce saat dilimi ayarına bakın. Ayrıntısı zaman damgası ve saat dilimi yazısında.
Arama kutusu bütün rapor içinde metin arar; bir isim, bir IBAN ya da bir kelimenin geçtiği bütün kayıtları getirir. Tarih süzgeciyle olay gününe daraltmak, uzun raporlarda en çok zaman kazandıran adım.
UFDR'de olmayanlar
UFDR bir seçki. İnceleyici, karardaki soruya göre kayıtları seçer ve rapora yalnızca onları koyar. Telefondan alınan verinin tamamı edinim dosyasında, yani imajdadır. Envista Forensics'in avukatlara yönelik bir yazısında da hatırlatıldığı gibi, raporda görünmeyen bir kayıt telefonda yok demek değildir. Bir mesajın raporda olmaması savunma açısından önemliyse UFDR'ye değil, imajın kendisine bakmak gerekir. CMK m.134/4'e göre alınan yedeğin bir kopyası şüpheliye ya da avukatına verilir; tam veriye ulaşmanın yolu bu kopya.
Kopya üzerinde ikinci bir inceleme yaptırılacaksa, rapordaki bulguların aynı veriden aynı sonuçla çıkıp çıkmadığına bakılır. Bunun nasıl yapıldığını bilirkişi raporu değerlendirme sayfasında anlattık.
Veri güvenliği
UFDR'de şüphelinin yanında onunla yazışan herkesin mesajları, fotoğrafları ve numaraları var. Dosyayı e-postayla dolaştırmak, bulut klasörüne atmak ya da “ufdr to pdf” vaat eden bir siteye yüklemek bu verileri üçüncü kişilere açmak demek. Açtığınız bilgisayarın disk şifrelemesi açık olsun, kopya sayısı az olsun, iş bitince fazladan kopyalar silinsin.