Disk İmajlama Sırasında Hash Tutarsızlığı Tespit Etme

Disk imajlama sırasında veri bütünlüğünü sağlamak adli bilişimin temel görevlerinden biridir. İmaj dosyası oluşturulurken ya da aktarılırken veriler bozulabilir. Hash tutarsızlığı tespit etmek, bu sorunları erkenden yakalamanın en güvenilir yoludur.

Hardware hatası, ağ transferi sırasında paket kaybı, dosya sisteminde bozulma veya kötü niyetli müdahale hash tutarsızlığına yol açabilir. Olay sonrası analizde kanıtın tam ve değiştirilmemiş olduğunu göstermek zorunludur.

Linux/macOS ortamında sha256sum veya Windows'ta certUtil kullanarak orijinal hash'i elde ederiz:

1sha256sum disk_image.dd > disk_image.sha256
2cat disk_image.sha256

Çıktı:

1a3f5c8e2d1b9f4e7c6a2b8d9e1f3a5c7b9d2e4f6a8c1b3d5e7f9a2c4e6f8a disk_image.dd

İmaj dosyasını başka bir cihaza kopyaladıktan sonra aynı yöntemle yeni hash hesaplayın:

1sha256sum disk_image.dd

Çıktı:

1a3f5c8e2d1b9f4e7c6a2b8d9e1f3a5c7b9d2e4f6a8c1b3d5e7f9a2c4e6f8a disk_image.dd

Hash değerleri eşitse veri bütünlüğü korunmuştur.

Eğer hash değerleri farklıysa:

1echo "a3f5c8e2d1b9f4e7c6a2b8d9e1f3a5c7b9d2e4f6a8c1b3d5e7f9a2c4e6f8a disk_image.dd" | sha256sum -c

Hata mesajı alırsanız, imaj dosyası bozulmuş demektir. Aktarımı yeniden yapın.

Hash dosyasını imaj ile aynı ortamda saklayın. Birden fazla algoritma (MD5, SHA-1, SHA-256) kullanarak çoklu doğrulama yapın. Adli raporunuzda her hash kontrolünü belgelendirin ve zaman damgası ekleyin.

Hash tutarsızlığı bulunursa, kanıtın güvenliğinden şüphe duyulur ve hukuki değeri sorgulanabilir. Bu nedenle her imajlama işleminde hash kontrolünü ihmal etmeyin.