CMK m.134 dijital delil aramasında en küçük usul hatası tüm delili çürütür; sulh ceza onayı + canlı analiz + hash zinciri + bilirkişi raporu zorunlu.
CMK m.134 — bilgisayar arama prosedürü
- Cumhuriyet savcısı sulh ceza hakimliğinden arama kararı talep eder.
- Sulh ceza hakimliği yetersiz veriye karar verir veya onaylar.
- Arama anında: sahip / temsilci / avukat hazır bulunur.
- Cihaz canlı (açık) ise canlı analiz; kapalıysa el konulur.
- Hash (MD5 / SHA-256) imzasıyla bütünlük zaman damgalı kayıt edilir.
- Klon (bit-for-bit kopya) çıkarılır; orijinal el konulu kalır.
- Bilirkişi inceleme; rapor hazırlanır.
Hash zinciri
- MD5: Eski; günümüzde çakışma riski; tek başına yetersiz.
- SHA-256: Standart; bilirkişi raporlarında zorunlu.
- SHA-3: Yeni nesil; tercihen kullanılır.
- Her aşamada (el koyma, klon, inceleme) hash karşılaştırma; uyumsuzluk = delil çürür.
Tipik usul hataları (delil iptali)
- Sulh ceza onayı eksik (acil durum istisna ispatı eksik).
- Avukat çağırılmadan arama.
- Hash zaman damgası yok.
- Klon yapılmadan inceleme.
- Bilirkişi atama yetersizliği (sertifikasız).
- Cihaz açık tutulmuş, RAM kaybedilmiş.
Bilirkişi raporu içeriği
- Cihaz tanımı (marka, model, seri, IMEI).
- El koyma tarihi ve hash.
- Klon yöntemi.
- Analiz aracı (FTK, Encase, Magnet AXIOM).
- Bulgular (klasör, dosya, uygulama, log).
- Hash karşılaştırma sonucu.
- Bilirkişi imzası ve sertifikaları (CHFI, EnCE, GCFE).
Sıkça sorulan sorular
Müvekkil cihazını silmiş; geri gelir mi?
Yazılımsal silme dosya sistemi seviyesinde; veri diskte hala olabilir. Adli bilişim aracı (FTK, Recuva pro) ile geri getirilebilir. Tam disk wipe (DBAN gibi) ise geri gelmez.
Hash uyumsuzluğu çıkarsa ne olur?
Delilin bütünlüğü kırıldı; mahkeme reddeder. Karşı taraf çürütme stratejisinde bu çok güçlü argüman. Bilirkişi raporunda hash adımları net olmalı.
Cihaz şifrelenmiş, açılmaz; ne yapılır?
CMK m.134/4 — şifre vermek zorunda değil (kendi aleyhine ifade vermeme hakkı). Devlet kırma teknikleri (brute-force, exploit, vendor talebi). Apple'a talep MLAT prosedürü gerek.
RAM analizi neden önemli?
RAM'de açık şifreler, çözük dosyalar, bağlantı oturumları olabilir. Cihaz kapatılınca RAM siler; canlı analiz (volatility, FTK Imager) zorunlu.
Bilirkişi raporunu nasıl çürütürüz?
Hash zinciri kırığı, sertifikasız bilirkişi, eksik methodology, paralel rapor (savunma adli bilişim uzmanı), itiraz dilekçesi + duruşmada teknik soru ile.
İlgili mevzuat
- HMK m.199-205 — Belge ve delil ibrazı.
- HMK m.400-405 — Tespit; tanıklı / bilirkişili.
- CMK m.134 — Bilgisayar arama, kopyalama; hash zinciri.
- TCK m.243-245 — Bilişim suçları, dijital delil zinciri.
- e-İmza Kanunu (5070) — Elektronik imza ve zaman damgası.