ZIP Arşivinin Değiştirilip Değiştirilmediğini Hash ile Kanıtlama

Bir ZIP arşivinin sonradan değiştirilip değiştirilmediğini kanıtlamanın en güvenilir yolu, arşivin ilk oluşturulduğu andaki kriptografik özet değerini (hash) elinizde bulundurmak ve bu değeri dosyanın mevcut haliyle karşılaştırmaktır. ZIP ve RAR gibi arşiv formatları, içeriklerindeki dosyaların boyutunu sıkıştırarak tek bir konteynerde toplar; dolayısıyla içlerindeki herhangi bir dosyanın değiştirilmesi, dosya adının yeniden adlandırılması, gizli bir klasör eklenmesi veya sıkıştırma yönteminin herhangi bir kısımda değiştirilmesi, arşivin整体的 ikili yapısını tamamen bozar. İşte bu noktada hash değerleri devreye girer; çünkü SHA-256, MD5 veya CRC32 gibi algoritmalar dosyanın her bir bit'ini matematiksel olarak işler ve dosyada yapılan en küçük değişikliği bile tamamen farklı bir özet değer üreterek yüzünüze vurur. Kriptografik olarak, aynı içeriğe sahip iki dosyanın hash değerleri kesinlikle birebir aynı olurken, farklı tek bir bit bile milyarlarca olası kombinasyondan birinden tamamen farklı bir özet üretir. Örneğin, bir kanıt paketi olarak elinizde bulunan ve SHA-256 değeri "a1b2c3..." olan bir ZIP dosyasını alıp içinden sadece bir metin belgesini açıp içindeki tek bir karakteri değiştirdiğinizde ve ardından dosyayı tekrar aynı sıkıştırma ayarlarıyla ZIP'e ekleseniz dahi, yeni SHA-256 değeri tamamen farklı, örneğin "f9e8d7..." gibi bir dizi olacaktır. Bu matematiksel kesinlik, dijital adli bilişimde dosya bütünlüğünün doğrulanması için standart kabul edilen yöntemdir. Bu süreci profesyonel bir platform üzerinden yürütmek istediğinizde, filesaudit.com gibi bir araca dosyanızı yükleyerek teknik metadata ve hash değerlerinin çıkarıldığı, adli bilişim standartlarında raporlanabilir bir doğrulama süreci başlatabilirsiniz.

Hash doğrulamasının mantığını anlamak için kullanılan algoritmaların çalışma prensiplerini kısaca incelemek faydalı olur. MD5 (Message Digest Algorithm 5) uzun yıllar boyunca dijital imzalama ve dosya bütünlüğü doğrulaması için endüstri standardıydı, ancak zamanla çakışma (collision) zafiyetleri keşfedildi; yani farklı iki dosyanın kasıtlı olarak aynı MD5 değerini üretebileceği shownmuştur. Bu nedenle MD5 günümüzde hala hızlı bir ilk el kontrol aracı olarak kullanılsa da, tek başına hukuki delil niteliği taşımaz. SHA-256 ise SHA-2 ailesinin bir parçasıdır ve 256 bitlik bir özet üretir; şu anki teknoloji ile çakışma bulmak pratik olarak imkansız olduğu için adli bilişim, yazılım dağıtımı ve kriptografik sertifikalar için altın standarttır. CRC32 ise aslında bir hash algoritmasından ziyade bir hata tespit kodudur (checksum), ZIP dosyalarının yerel dosya başlıklarında ve merkezi dizininde her dosya için otomatik olarak hesaplanır; arşivin açılıp açılamayacağını ve bozulma olup olmadığını test etmek için kullanılır. İdeal bir doğrulama akışında, hem tüm arşivin SHA-256 değeri hesaplanır hem de arşivin içindeki bağımsız dosyaların CRC32 değerleri kontrol edilir; bu sayede arşivin tamamı mı değiştirilmiş yoksa sadece içindeki bir belge mi müdahaleye uğramış olduğu tespit edilebilir. FilesAudit gibi bir platform, bir ZIP dosyası yüklediğinizde hem arşivin genel SHA-256 ve MD5 değerlerini hesaplar hem de arşiv içeriğinin yapısını analiz ederek dosya manifestolarını çıkarır; bu sayede sadece dış kabuğun değil, içeriğin de bağımsız olarak doğrulanmasına olanak tanır.

Pratik bir örnek üzerinden yürüyalım: Bir yazılım şirketi olduğunu ve büyük bir projenin 2024 yılında teslim edilen sürümünü ZIP olarak arşivlediğinizi düşünün. Arşivi oluşturduğunuzda SHA-256 özetini "5d41402abc4b2a76b9719d911017c592..." şeklinde not ettiniz ve güvenli bir yerde sakladınız. İki yıl sonra, bu kodu kullanan müşteri ile aranızda bir lisans anlaşmazlığı çıktı ve siz elinizdeki ZIP'in orijinal haliyle mi duruyor yoksa birisi paketten kaynak kodunu çıkarıp kendi watermark'ını mı ekledi sorusunu gündeme getirdiniz. Orijinal "5d41402abc4b2a76b9719d911017c592..." hash değerini, elinizdeki güncel ZIP dosyasını bir hash hesaplama aracına sürükleyerek elde ettiğiniz değerle karşılaştırırsanız, iki dizi tamamen aynıysa arşive hiçbir müdahale edilmemiş demektir. Eğer değerler farklıysa, arşivin mutlaka değiştirildiği matematiksel olarak kanıtlanmış olur; ancak kimin, ne zaman ve nasıl değiştirdiği hash algoritmasının değil, adli bilişim zaman damgası ve sistem log analizi konusunun parçasıdır. Önemli olan nokta, hash değerinin sadece "değişiklik oldu veya olmadı" gerçeğini ortaya koymasıdır; suçlu veya sorumluyu belirlemek teknik olmaktan ziyade hukuki bir çıkarım gerektirir. Bu tür bir süreci hash ile dosya bütünlüğü doğrulama makalesinde anlatılan adımları takip ederek detaylandırabilirsiniz; burada SHA-256 ve MD5 algoritmalarının adli bilişim süreçlerinde nasıl uygulanması gerektiği adım adım açıklanmaktadır. Bu yöntemle, yıllar önce oluşturulmuş bir ZIP arşivinin bile o günkü haliyle korunduğunu kanıtlayabilir, dosyanın güvenilirliğini matematiksel bir kesinlikle belgeleyebilirsiniz.

ZIP arşivlerinde dikkat edilmesi gereken önemli bir teknik detay ise, arşivin format yapısı gereği farklı araçlar ve sürümlerle tekrar oluşturulabilmesidir. İçindeki dosyalar birebir aynı kalsa bile, bir ZIP'i 7-Zip ile sıkıştırmanızla WinRAR ile sıkıştırmanız veya Windows'un yerel "Sıkıştırılmış klasör" özelliğini kullanmanız arasında bit düzeyinde farklar ortaya çıkabilir, çünkü her yazılım farklı sıkıştırma algoritmaları (Deflate, BZip2, LZMA) ve farklı başlık yapıları kullanır. Bu nedenle, "dosya içeriği aynıysa hash neden farklı?" sorusu sıkça sorulur ve cevabı arşiv formatının doğasında yatar. ZIP bir dosya sistemi gibi davranır; içindeki dosyaların sırası, kullanılan sıkıştırma seviyesi, şifreleme yöntemi ve hatta dosya zaman damgalarının (timestamp) işlenme şekli bile sonuç hash değerini etkiler. Dolayısıyla, adli bir incelemede sadece hash değerini karşılaştırmak yetmez; arşivin metadata'sını da analiz ederek oluşturulma tarihini, yazılım imzasını ve dosya listesini incelemek gerekir. FilesAudit gibi bir platform, ZIP dosyasını yüklendiğinde arşiv içeriğini açarak her dosyanın orijinal adını, boyutunu, değiştirilme tarihini ve CRC32 değerini manifest olarak listeler; bu sayede dosyanın dış hash değerinde bir uyumsuzluk olsa bile, içeriğin aynı kalıp kalmadığını bağımsız olarak doğrulayabilirsiniz. Bu, özellikle dosya aktarımı sırasında metadata'nın değişip değişmediğini görmek isteyen arşivciler ve yazılım mühendisleri için kritik bir özelliktir. ZIP dosyalarının metadata analizi ve iç yapılarının nasıl okunması gerektiği konusunda daha fazla teknik detay için ZIP dosya metadata rehberi sayfasında kapsamlı bir kaynak sunulmaktadır; bu rehber, arşiv içi dosya yapılarının ve CRC değerlerinin detaylı okunması için ideal bir başlangıçtır.

Adli bilişim süreçlerinde ZIP dosyalarının doğrulanması yalnızca hash hesaplamasından ibaret değildir; sürecin raporlanması ve kanıt olarak saklanması da en az hesaplama kadar önemlidir. Elde ettiğiniz SHA-256 değerini bir metin belgesine yazıp saklamak pratik olsa da, mahkeme, denetim veya şirketiçi bir compliance sürecinde bu değerin ne zaman, hangi dosyadan, hangi araçla ve kim tarafından üretildiğini ispatlamanız gerekir. İşte tam bu noktada profesyonel bir raporlama aracı devreye girer; FilesAudit gibi bir platform, dosyayı yüklediğinizde sadece hash değerini değil, dosyanın boyutunu, MIME tipini, oluşturulma ve değiştirilme zaman damgalarını, arşiv yapısını, içeriğindeki dosya listesini ve hedeflenen AI üretim kanıt (C2PA) gibi tüm metadata'yı çıkararak hepsini tek bir adli bilişim formatında PDF rapor haline getirir. Bu rapor, sadece "hash bu" demez; aynı zamanda "bu dosya şu tarihte, şu özelliklerle, şu sağlayıcı tarafından analiz edilmiştir" der ve raporlama sürecinin güvenilirliğini de belgeler. Özellikle şirketlerin fikri mülkiyet haklarını korurken, yazılım tedarik zinciri güvenliğini doğrularken veya gazetecilerin kaynak dosyalarının orijinalliğini ispatlarken ihtiyaç duyduğu, baştan sona izlenebilir bir kanıt zinciri oluşturulur. Eğer yüzlerce veya binlerce ZIP dosyasını doğrulamanız gereki