📱 Vaka Analizi: Akıllı Telefonlarda Telegram ve Signal Yazışmalarının Adli Tespiti, SQLite Veritabanı ve RAM Analizi
Mobil Adli Bilişim (Mobile Forensics) Kılavuzu: Android ve iOS cihazlarda uçtan uca şifreli (E2EE) mesajlaşma uygulamaları, SQLite veritabanı yapısı, SQLCipher şifre çözümü, WAL dosyası carving ve silinmiş mesajların tespiti.
┌────────────────────────────────────────────────────────────────────────┐
│ ŞİFRELİ MESAJLAŞMA ADLİ İNCELEME METODOLOJİSİ │
│ (NIST SP 800-101 Standartları) │
└───────────────────────────────────┬────────────────────────────────────┘
│
[ 1. İZOLASYON VE FİZİKSEL EDİNME ]
• Faraday Çantası & Uçak Modu (Remote Wipe Engeli)
• Fiziksel / Full File System İmajı (EDL / Checkm8)
│
▼
[ 2. UYGULAMA DİZİNİ VE VERİTABANLARI ]
• Telegram: cache4.db & user_conf.xml
• Signal: signal.db (SQLCipher 256-Bit Şifreli)
│
▼
[ 3. ŞİFRE ÇÖZÜMÜ VE ANAHTAR TESPİTİ ]
• Android Keystore / shared_prefs XML İçinden Parola Çıkarma
• SQLCipher Master Key İle Veritabanı Kilidini Açma
│
▼
[ 4. WAL VE FREELİST CARVİNG ]
• .db-wal (Write-Ahead Log) İncelemesi
• Silinmiş Mesajların Serbest Sayfalardan Kurtarılması
│
▼
[ 5. ADLİ RAPORLAMA VE DELİL TESPİTİ ]
🔐 1. Uçtan Uca Şifreleme (E2EE) Yanılgısı ve Adli Gerçekler
Kullanıcılar genellikle Telegram veya Signal gibi uygulamalar üzerinden yazıştıklarında, mesajların asla bulunamayacağını düşünürler:
- İletim Güvenliği (In-Transit): Mesajlar operatör şebekesinde veya havada uçtan uca şifrelidir (E2EE). Operatör veya BTK bu mesajların içeriğini çözemez.
- Uç Nokta Güvenliği (At-Rest): Ancak mesaj karşı tarafa ulaştığında, kullanıcının ekranında okunabilmesi için cihazın yerel belleğinde ve SQLite veritabanında düz metin (plaintext) veya yerel anahtarla şifreli olarak saklanmak zorundadır.
- Adli Sonuç: Cihazın fiziksel veya tam dosya sistemi (Full File System) imajı elde edildiğinde, bu mesajlar adli bilişim teknikleriyle eksiksiz olarak çıkarılabilir.
🗄️ 2. Telegram Adli Artefaktları (Android & iOS)
Telegram, Android işletim sisteminde verileri şu dizin altında saklar:
/data/data/org.telegram.messenger/databases/cache4.db
Kritik SQLite Tabloları:
messages: Gönderilen ve alınan tüm mesaj metinleri, gönderici ID, alıcı ID ve Unix zaman damgası (date).users: Rehberdeki ve sohbet edilen kullanıcıların telefon numaraları, kullanıcı adları (username) ve profil bilgileri.chats: Dahil olunan gruplar, kanallar ve gizli sohbet (Secret Chat) oturum anahtarları.media: İndirilen ve paylaşılan fotoğraf, video ve sesli mesajların yerel dosya yolları.
🛡️ 3. Signal Adli Analizi ve SQLCipher Şifre Çözümü
Signal, gizliliğe en yüksek önemi veren uygulama olarak SQLite veritabanını SQLCipher (256-bit AES) ile tamamen şifreler:
/data/data/org.thoughtcrime.securesms/databases/signal.db
Adli Bilişim Uzmanı Bu Şifreyi Nasıl Çözer?
- Şifre çözme anahtarı (Passphrase), kullanıcının cihazındaki yerel uygulama tercih dosyasında saklanır:
/data/data/org.thoughtcrime.securesms/shared_prefs/org.thoughtcrime.securesms_preferences.xml
- Bu XML dosyasında yer alan
pref_database_encrypted_secret anahtar değeri okunur.
- Adli iş istasyonunda terminal üzerinden SQLCipher aracıyla veritabanı açılır:
sqlcipher signal.db
PRAGMA key = "x'BURAYA_XML'DEN_ALINAN_HEX_ANAHTAR_YAZILIR'";
PRAGMA cipher_page_size = 4096;
SELECT body, date_sent, address FROM message ORDER BY date_sent DESC;
Bu işlem sonucunda şüphelinin "gizli" sandığı tüm Signal mesajları saniye saniye mahkeme dökümüne dönüştürülür.
🗑️ 4. Silinmiş Mesajların Kurtarılması: WAL Dosyası ve Freelist Carving
Şüpheli şahıs mesajları veya sohbeti tamamen silmiş olsa dahi:
- WAL (Write-Ahead Log) Mekanizması: SQLite veritabanları performansı artırmak için silme işlemlerini doğrudan ana veri tabanına değil,
.db-wal uzantılı önbellek dosyasına yazar.
- Checkpointing Öncesi Durum: Veritabanı checkpoint yapana kadar silinen mesajlar WAL dosyasında düz metin olarak kalmaya devam eder.
- Freelist Carving: Ana veritabanından silinen kayıtlar diskin serbest sayfalarına (Freelist pages) taşınır; yeni veri üzerine yazılana kadar adli veri kazıma (Carving) araçlarıyla %100 kurtarılabilir.
⚖️ 5. Mahkemelerde Mobil Delil Standartları
- CMK m. 134 Kararı Zorunluluğu: Akıllı telefon üzerinde yapılacak inceleme mutlaka usulüne uygun alınmış bir mahkeme veya savcılık kararına dayanmalıdır.
- Ekran Görüntüsü (Screenshot) Güvenilmezliği: Yargıtay yerleşik içtihatlarına göre, telefon ekranından çekilen fotoğraflar veya ekran görüntüleri kolayca montajlanabildiği için tek başına kesin delil sayılamaz; orijinal SQLite veritabanı dökümü ve hash doğrulama raporu aranır.
📚 6. Kaynakça
- NIST Special Publication 800-101 Rev. 1: Guidelines on Mobile Device Forensics.
- ISO/IEC 27037:2012 Digital Evidence Handling Guidelines.
- SQLite Database File Format Technical Specification.
- Yargıtay 16. Ceza Dairesi E. 2017/1862 K. 2017/5725 (Şifreli mesajlaşma uygulamaları ve teknik delil tespiti).