İki Faktörlü Kimlik Doğrulama Kayıtlarının Dijital Delil Olarak Değerlendirilmesi

İki faktörlü kimlik doğrulama kullanılmış bir işlem, yalnız parolaya dayalı işleme göre daha fazla teknik veri üretebilir. Buna rağmen “iki aşama geçildi” ifadesi, işlemi belirli kişinin yaptığına ilişkin eksiksiz ispat değildir. Hangi doğrulama araçlarının kullanıldığı, bu araçların olay sırasında kimin kontrolünde bulunduğu ve doğrulamanın hangi oturum veya işlem için yapıldığı ayrı ayrı belirlenmelidir. Güvenlik düzeyi ile ceza yargılamasındaki kişisel atıf aynı kavram değildir.

Bir doğrulama kodunun üretilmesi, telefona gönderilmesi, teslim edilmesi, sisteme girilmesi ve kabul edilmesi farklı olaylardır. Bu olaylar farklı kuruluşların sistemlerinde kaydedilebilir. Kod kabul edildikten sonra yapılan işlem de ayrı bir kayıt konusu olabilir. İnceleme, bütün bu aşamaları tek “onay” sözcüğü altında birleştirmek yerine, hangi kaydın hangi soruya cevap verdiğini göstermelidir. Böyle bir ayrım hem iddianın gücünü hem savunmanın teknik itirazlarını doğru değerlendirmeyi sağlar.

İki aşama ile iki ayrı faktör arasındaki fark

Kimlik doğrulamada faktör, kişinin bildiği sır, sahip olduğu araç veya kendisine ait biyometrik özellik gibi farklı kategorileri ifade eder. İki farklı parola sorulması, sırf iki ekran bulunduğu için iki ayrı faktör kullanıldığı anlamına gelmez. İşlemin gerçekten hangi doğrulama yapısına dayandığı sağlayıcının teknik açıklamasıyla belirlenmelidir. Arayüzün kullandığı pazarlama adı, adli rapordaki teknik sınıflandırmanın yerine geçmez.

NIST SP 800-63B-4, farklı doğrulayıcı türlerini ve güvence düzeylerini birbirinden ayırır. SMS kodu, uygulama tarafından üretilen tek kullanımlık kod, bildirim onayı ve kriptografik doğrulayıcı aynı özelliklere sahip değildir. Bazıları kimlik avına karşı daha güçlü koruma sağlarken bazıları farklı riskler taşır. Bu ayrım, belirli olayda ne olduğunun incelenmesini gerektirir. Genel olarak güçlü sayılan yöntemin kullanılması, somut kontrol sorunlarının hiç bulunmadığını kanıtlamaz.

Tek bir cihaz üzerinde birden fazla faktör kullanılabilir. Bu durum, faktörlerin mutlaka iki ayrı fiziksel cihazda bulunması gerektiği yönündeki varsayımı yanlış kılar. Buna karşılık cihazın ele geçirilmesi veya başkasıyla paylaşılması, kullanılan yönteme göre farklı etkiler doğurabilir. İnceleme, faktör sayısından önce doğrulama aracının teknik yapısını ve yerel etkinleştirme koşullarını açıklamalıdır. Cihazın kilidinin açık olması ile doğrulayıcının kullanılabilir olması her sistemde aynı anlama gelmez.

Ceza yargılaması açısından bu teknik ayrımların işlevi, bulgunun ispat sınırını belirlemektir. Rapor yalnız “MFA başarılı” alanını aktarıyorsa, hangi faktörlerin gerçekten kullanıldığı belirsiz kalabilir. Önceki bir doğrulama oturumundan devralınmış güvence veya farklı bir kurtarma yöntemi de kayda yansımış olabilir. Alanın anlamı, sağlayıcının olay tanımı ve ilgili işlem bağlamıyla birlikte açıklanmalıdır. Teknik etiket, tek başına gerçek kişinin kimliğini belirlemez.

Doğrulayıcının hesaba bağlanması ve sonraki değişiklikler

Bir telefon numarasının veya doğrulama uygulamasının hesaba ne zaman tanımlandığı, olay tarihindeki kullanım kadar önemlidir. Araç saldırgan tarafından yakın zamanda eklenmişse, sonraki başarılı doğrulama hesabın önceki sahibinin katılımını göstermez. Araç uzun süredir kayıtlıysa bile sonradan kontrolünün değişip değişmediği araştırılır. Doğrulayıcı kayıt geçmişi, yalnız işlem günündeki görünümle sınırlı tutulmamalıdır.

Yeni cihaz ekleme, numara değiştirme, yedek kod üretme ve doğrulama yöntemini kaldırma işlemleri farklı güvenlik olaylarıdır. Bunların hangi oturumdan ve hangi yetkiyle yapıldığı incelenir. Hesabın mevcut güvenlik ekranı geçmişteki durumu eksiksiz göstermeyebilir. Sağlayıcının değişiklik kayıtları ve gönderdiği bildirimler, olayın zaman çizelgesini tamamlayabilir. Eksik kayıt bulunan dönemlerde, güncel ayarlar geçmişe aynen taşınmamalıdır.

Hesap kurtarma süreçleri de doğrulama düzenini değiştirebilir. Kullanıcı asıl aracını kaybettiğinde başka kanalla erişimini geri kazanmış olabilir. Aynı süreç kötüye kullanılmış da olabilir. Kurtarma işleminin varlığı, sonucunun kapsamı ve hangi kişiyle ilişkilendirildiği ayrı değerlendirilir. Başarılı kurtarma kaydı, geçmişteki bütün işlemlerin başvuru sahibine ait olduğunu kanıtlamaz. Hizmetin güvenlik kararı ile ceza yargılamasındaki tarihsel tespit farklıdır.

Doğrulayıcı ekleme kaydında görülen IP veya cihaz bilgisi, ilgili kişinin belirlenmesine yardımcı olabilir. Ancak ortak ağ ve uzaktan erişim gibi özellikler yine hesaba katılır. Aracın belirli hesapla ilişkilendirilmesi, bu aracın kim tarafından tutulduğunu tek başına göstermez. Fiziksel teslim veya kullanım kayıtları mevcutsa teknik verilerle birlikte değerlendirilebilir. İnceleme, araç aidiyeti ile işlem anındaki kontrolü birbirinden ayırmalıdır.

SMS kodlarında üretim, teslim ve kullanım

Sağlayıcının kod oluşturma kaydı, doğrulama isteğinin başlatıldığını gösterebilir. Mesajın gönderim kaydı, iletinin sonraki aşamaya aktarıldığını ifade edebilir. Operatör veya mesaj hizmetinin teslim durumu ise kendi teknik tanımına bağlıdır. Bu kayıtların hiçbiri tek başına gerçek kişinin mesajı okuyup kodu bilerek kullandığını kanıtlamaz. Adli rapor, kullanılan teslim teriminin neyi doğruladığını açıklamalıdır.

Telefon numarasının abonesiyle kodu alan cihazın kullanıcısı aynı kişi olmayabilir. SIM değişikliği, hat devri, numara taşıma veya cihazın başkasının elinde bulunması somut olayda araştırılabilir. NIST, telefon şebekesi üzerinden doğrulamada SIM değişimi ve numara taşıma gibi risk göstergelerine dikkat çeker. Bu göstergeler otomatik suç veya mağduriyet kanıtı değildir. İlgili olay zamanıyla bağ kurulduğunda değerlendirmeye katkı sağlar.

Kodun sisteme doğru girilmesi, kodun bir şekilde kullanıldığını gösterir. Kullanıcı kimlik avıyla kandırılarak kodu paylaşmış veya başka kişiye isteyerek vermiş olabilir. Bu açıklamaların somut delillerle değerlendirilmesi gerekir. Doğru kodun kabul edilmesi, işlemin bütün hukuki sonuçlarının kullanıcı tarafından bilindiğini kesinleştirmez. Teknik doğrulama, suç kastı veya hukuki rıza konusunda tek başına nihai sonuç üretmez.

Aynı olayda birden fazla kod üretilmişse, hangi kodun hangi istek ve oturumla ilişkili olduğu belirlenmelidir. Başarısız denemelerle başarılı doğrulamanın sırası önem taşır. Yalnız son başarılı olayı gösteren özet, önceki kurtarma veya değiştirme işlemlerini gizleyebilir. Kodun kendisinin raporda açıkça yer alması çoğu durumda gerekli değildir. Olay kimliği, zaman ve sonuç bilgileri ispat ihtiyacını karşılayabilir.

Uygulama kodu, bildirim onayı ve kriptografik doğrulama

Doğrulama uygulamasının ürettiği tek kullanımlık kod, SMS tesliminden farklı teknik yapıya sahiptir. Bu nedenle SMS gönderim kaydı bulunmaması, doğrulama yapılmadığını göstermez. Kullanılan uygulamanın kayıt veya yedekleme özellikleri, doğrulayıcının başka cihaza taşınıp taşınmadığı ve olay tarihindeki kontrolü araştırılır. Bütün uygulamaların aynı saklama ve eşitleme davranışına sahip olduğu varsayılmamalıdır.

Bildirimle onay verilen sistemlerde, bildirimin gönderilmesi ile onay yanıtının alınması ayrılır. Onayın hangi cihazdan geldiği ve hangi oturuma bağlandığı açıklanır. Kullanıcının art arda gelen bildirimler nedeniyle yanıltıldığı veya yanlış isteği onayladığı iddiası varsa, bildirim sayısı ve olay sırası incelenebilir. Böyle bir açıklama kendiliğinden doğru sayılmaz, ancak tek başarılı onay kaydıyla dışlanmış da kabul edilemez.

Kriptografik doğrulayıcılar, belirli anahtarın kullanıldığını ve doğrulama yanıtının ilgili hizmetle bağını güçlü biçimde gösterebilir. Buna rağmen anahtarın kullanımına izin veren cihazın veya yerel etkinleştirme unsurunun kontrolü ayrıca araştırılır. NIST, kimlik avına dirençli yöntemleri diğer yöntemlerden ayırır. Bu üstün teknik koruma, olayın bütün insan davranışlarını veya sonraki işlemlerin hukuki niteliğini kendiliğinden ispatlamaz.

Biyometrik doğrulama kullanılan cihazlarda, hizmet sağlayıcı çoğu kez ham biyometrik örneği değil doğrulama sonucuna ilişkin bilgiyi alır. Hangi verinin gerçekten kaydedildiği sistemin yapısına bağlıdır. Bir kayıtta kullanıcı doğrulamasının yapıldığı görülmesi, mahkemenin elinde parmak izi veya yüz görüntüsü bulunduğu anlamına gelmez. Rapor, mevcut veri türünü doğru adlandırmalı ve sistemin üretmediği ayrıntıları varsaymamalıdır.

Oturum açma onayı ile belirli işlem onayı

Hesaba giriş için yapılan doğrulama, daha sonra gerçekleştirilen bütün işlemleri ayrı ayrı onaylamış olmakla eşitlenemez. Bir sistem yalnız başlangıçta ek faktör isteyebilir, başka sistem belirli işlemde yeniden doğrulama yapabilir. İnceleme, olayda hangi düzenin geçerli olduğunu açıklamalıdır. Suç isnadı bir ödeme veya veri aktarımıyla ilgiliyse, doğrulamanın o işleme özel olup olmadığı önem taşır.

İşleme bağlı onayda kullanıcının hangi bilgiyle karşılaştığı araştırılabilir. Tutar, alıcı veya işlem türü doğrulama ekranında gösterilmiş olabilir, ancak bunun olay tarihindeki sürümü ve kayıt kapsamı belirlenmelidir. Genel ürün açıklamasındaki özelliklerin o tarihte ve o kullanıcı için etkin olduğu varsayılmaz. Kullanıcının gördüğü bilgiyle sunucunun kaydettiği işlem arasında bağ kurulabildiği ölçüde iradeye ilişkin değerlendirme daha somut hale gelir.

NIST'in teknik anlamda doğrulama niyetini ele alması, Türk ceza hukukundaki kastla aynı kavramı tanımladığı anlamına gelmez. Kullanıcının düğmeye basması, doğrulama sürecine katıldığını gösterebilir. Bunun hangi amaçla yapıldığı ve suçun unsurlarını bilip bilmediği ayrıca değerlendirilir. Teknik standardın terimleri hukuki kavramlara çevrilirken bu kapsam farkı korunmalıdır. Aksi halde güvenlik terimiyle cezai sorumluluk arasında gerekçesiz bir geçiş yapılmış olur.

Doğrulamadan sonra oturumun başkası tarafından kullanıldığı iddiası, ilgili oturum verileriyle sınanır. Oturumun geçerlilik süresi, yeniden doğrulama zamanı ve işlem kaynağı araştırılabilir. Her sonraki isteğin yeni faktör kullanımı gerektirmemesi, kayıtların yorumunda önem taşır. Sağlayıcının “güçlü doğrulanmış oturum” ifadesi, oturum boyunca bütün işlemlerin aynı gerçek kişi tarafından yapıldığını mutlak biçimde garanti etmez.

Zamanların ve olay tanımlayıcılarının eşleştirilmesi

Doğrulama sistemi, mesaj sağlayıcısı, operatör ve işlem uygulaması farklı saatlerle kayıt tutabilir. Aynı olayın doğru sıraya konulması için saat dilimleri ve bilinen sapmalar açıklanır. Birkaç saniyelik fark, kodun gönderilmeden önce kullanıldığı gibi imkansız görünen sonuç yaratabilir. Böyle bir çelişki hemen sahtecilik veya teknik imkansızlık şeklinde yorumlanmadan önce zaman kaynakları kontrol edilmelidir.

Olay kimliği, doğrulama isteği ve oturum tanımlayıcısı kayıtları ilişkilendirmeyi sağlayabilir. Ancak aynı alanın farklı sistemlerde aynı anlamı taşıdığı varsayılmaz. Sağlayıcının açıklaması, alanların üretim ve aktarım biçimini göstermelidir. Yalnız hesap adı ve yaklaşık zaman eşleşmesi bulunuyorsa, bunun daha sınırlı bağlantı sunduğu belirtilir. Birden fazla eşzamanlı deneme varsa bu sınırlılık daha da önem kazanır.

Toplulaştırılmış raporlar, başarılı ve başarısız olayları bir arada özetleyebilir. “Doğrulama tamamlandı” sonucunun hangi alt olaylardan üretildiği bilinmeden tekil kullanıcı davranışı çıkarılamaz. Yeniden denemeler veya otomatik süreçler, kullanıcı sayısı ya da işlem sayısı gibi yorumlanmamalıdır. İnceleme, raporun özgün kayıtla ilişkisini ve veri kaybı ihtimalini açıklamalıdır. Özetin teknik doğruluğu kadar kapsamı da değerlendirilir.

Google'ın cihaz etkinliği açıklaması, ekranda görülen son iletişim zamanının arka plan eşitlemesinden de kaynaklanabileceğini belirtir. Bu örnek, arayüzdeki “son etkinlik” saatinin her zaman insanın son kullanım saati olmadığını gösterir. Aynı davranış bütün hizmetler için varsayılamaz. İncelenen platformun kendi açıklaması esas alınmalıdır. Kullanıcıya gösterilen özet ekranla adli amaçla istenen işlem kaydının farklı ayrıntı düzeyleri taşıyabileceği korunmalıdır.

Elde etme usulü ve verinin korunması

Doğrulama kayıtları hesap güvenliğine ilişkin hassas bilgiler içerebilir. Sağlayıcıdan kayıt istenmesi, cihazın incelenmesi ve kullanıcının kendi hesabından veri sunması farklı temin yollarıdır. Her yolun hukuki dayanağı ve kapsamı ayrı değerlendirilir. Teknik olarak erişilebilen bütün doğrulayıcı bilgilerinin toplanması, soruşturmanın amacıyla ilgisiz verilerin de sınırsız incelenmesini haklı kılmaz. Kayıt talebi somut olay ve zaman aralığıyla ilişkilendirilmelidir.

Kodlar, özel anahtarlar veya kurtarma sırları rapora gereksiz biçimde taşınmamalıdır. İspat için çoğu zaman doğrulamanın türü, bağlandığı hesap, olay zamanı ve sonucu önemlidir. Gizli verinin kendisine ihtiyaç varsa erişim ve muhafaza koşulları ayrıca düzenlenir. Koruma tedbirleri, ilgili bulgunun savunma tarafından denetlenmesini bütünüyle engellemeden kurulmalıdır. Gizlilik ile tartışılabilirlik arasındaki ilişki, somut veri ihtiyacına göre değerlendirilir.

Dışa aktarılan kayıtların bütünlüğü, alınma zamanı ve kullanılan filtreler belgelenir. Hash değeri, kopyanın sonradan değişip değişmediğini kontrol etmeye yardımcı olur. Ancak doğrulama sisteminin doğru yapılandırıldığını veya kaydedilen olayın gerçek insan tarafından başlatıldığını kanıtlamaz. Kaynağın güvenilirliği, bütünlük ve kullanıcı atfı farklı sorulardır. Raporun bunları aynı “güvenilir kayıt” ifadesiyle geçiştirmemesi gerekir.

Sağlayıcı yalnız sonuç tablosu sunmuşsa, ilgili alanların anlamı ve eksik verinin nedeni sorulabilir. Kayıt saklama süresinin dolması, belirli doğrulama yönteminin hiç kaydedilmemesi veya verinin farklı sistemde bulunması farklı açıklamalardır. Cevaptaki boşluk, sanık aleyhine varsayımla tamamlanamaz. Aynı boşluk doğrulamanın hiç yapılmadığını da tek başına göstermez. Delilin sınırı, elde bulunan diğer verilerle birlikte değerlendirilir.

Raporun cevaplaması gereken somut sorular

Denetlenebilir bir rapor önce hangi doğrulayıcının kullanıldığını, sonra bu doğrulayıcının ilgili hesaba nasıl bağlandığını açıklamalıdır. Başarılı olayın hangi oturuma ve hangi işleme karşılık geldiği gösterilir. Doğrulama aracının olay anındaki kontrolü konusunda doğrudan bulgu bulunup bulunmadığı ayrıca belirtilir. Böylece teknik kaydın kanıtladığı olgu ile başka delillere dayanan kullanıcı çıkarımı birbirinden ayrılabilir.

Doğrulama aracının paylaşılması, hat değişikliği veya hesap kurtarma iddiası varsa, iddia somut kayıtlarla karşılaştırılır. Bilirkişi bu açıklamayı teknik olarak mümkün, desteklenmiş veya dışlanmış buluyorsa gerekçesini göstermelidir. Olasılığın varlığıyla gerçekleşmenin kanıtı arasındaki fark korunur. Raporun bir açıklamayı dışlayamaması, bütün alternatiflerin eşit ölçüde güçlü olduğu anlamına da gelmez. Elde bulunan verinin açıklama gücü açıkça ortaya konulmalıdır.

CMK 217 uyarınca mahkeme, hukuka uygun elde edilen ve duruşmada tartışılan delilleri birlikte değerlendirir. İki faktörlü doğrulama kaydı bu değerlendirmede önemli yer tutabilir, ancak önceden belirlenmiş kesin delil niteliği kazanmaz. Sağlayıcının güvenlik düzeyi sınıflandırması, mahkemenin kişisel fiil ve kast değerlendirmesinin yerine geçmez. Sanığın teknik açıklamaya karşı somut itirazları da ilgili kayıtlar üzerinden cevaplanmalıdır.

İşlem onayına ilişkin güçlü kayıtlar bulunması, bunların değersiz sayılmasını gerektirmez. Asıl ihtiyaç, kaydın gücünü doğru soruya yöneltmektir. Belirli doğrulayıcının kullanılması güçlü biçimde doğrulanabilirken, onu kullanan insan veya işlemin amacı başka deliller gerektirebilir. Ek güvenlik katmanı, ek ispat verisi sağlar; bu verinin kapsamı kullanılan yöntemin ve somut kayıtların sınırlarıyla belirlenir. Bu sınırlar açıklandığında mahkeme, teknik güvenceyi hukuki gerekçeye ölçülü biçimde dahil edebilir.