EXIF verisi ve sınırları

Beyaz Vadi'nin depo fotoğrafı sosyal medyada konum bilgisi olmadan dolaşıyordu. Güvenlik ekibi aynı fotoğrafın ham dosyasını şirketin web sitesindeki basın kitinde buldu. Basın kiti bir PDF, bir Word belgesi ve birkaç yüksek çözünürlüklü görselden oluşuyor.

Ekibin sorusu basit: bu dosyalar dışarıya neler anlatıyor? Görüntünün yanında bir de kayıt defteri vardır ve adı EXIF'tir. Defterde cihazın modeli, çekim saati, bazen de konum durur. Belgeler ise yazar adını, kullanılan yazılımı ve iç dosya yollarını taşır.

Önce EXIF'in nerede saklandığını ve kimlerin onu sildiğini göreceksin. Sonra ExifTool ile alanları okuyacak, koordinatı ondalığa çevirecek ve belge meta verisine bakacaksın. Ardından saat alanlarındaki çelişkiyi yorumlayacak, kanıtı nasıl koruyacağını ve kurumun kendi dosyalarını nasıl temizleyeceğini öğreneceksin.

EXIF'in açılımı Exchangeable Image File Format'tır. Fotoğraf makinesi ve telefon görüntüyü kaydederken bu alanları dosyaya yazar. Standardı Japonya merkezli Kamera ve Görüntüleme Ürünleri Derneği (CIPA) yayımlar.

Güncel sürüm Ocak 2026'da yayımlanan Exif 3.1'dir. JPEG dosyasında EXIF, APP1 adlı bir bölümde durur. İçerik TIFF yapısına benzer şekilde dizinlere (IFD) ayrılır.

IFD0 cihazın markasını, modelini, yazılımını ve son değişiklik zamanını tutar. Exif dizini çekim zamanını, pozlama ve odak bilgisini tutar. GPS dizini ise konumu, yüksekliği, GPS saatini ve bazen kameranın baktığı yönü tutar.

EXIF tek meta veri katmanı değildir. XMP, Adobe'nin geliştirdiği XML tabanlı bir biçimdir ve düzenleme yazılımları işlem geçmişini çoğu zaman oraya yazar. IPTC alanları basın fotoğraflarında açıklama, telif ve fotoğrafçı adını taşır. MakerNotes ise üreticiye özel, belgesi çoğu zaman yayımlanmamış bir alandır.

ExifTool bu katmanların hepsini okur ve hangi değerin hangi katmandan geldiğini gösterebilir. Ayrım önemlidir. Aynı tarih EXIF'te bir, XMP'de başka değer taşıyabilir.

Fark, dosyanın bir düzenleme yazılımından geçtiğini düşündürür. Düzenleme yazılımı alanları silebilir, değiştirebilir ya da yenisini ekleyebilir. Yeniden kaydedilmiş ya da kırpılmış bir kopyada meta verinin olduğu gibi durduğunu varsayma.

Analistin büyük beklentisi burada kırılır. Sosyal ağların çoğu yüklenen fotoğrafı yeniden sıkıştırır ve herkese açık kopyadan EXIF alanlarını siler. Mesajlaşma uygulamaları da fotoğraf olarak gönderilen görselde çoğu zaman aynı şeyi yapar. Belge olarak gönderilen dosya ise genellikle olduğu gibi kalır.

Paylaşılmış bir fotoğrafta konum bulma ihtimali bu yüzden düşüktür. Yine de EXIF ölü bir kaynak değildir. Kurumsal sitelerdeki basın görselleri, PDF'lere gömülü fotoğraflar, e-posta ekleri, bulut paylaşım bağlantıları ve forumlara yüklenen ham dosyalar veriyi çoğu zaman korur. Beyaz Vadi'nin basın kiti tam olarak bu türdendir.

ExifTool, Phil Harvey'in geliştirdiği ücretsiz bir komut satırı aracıdır. Yüzlerce dosya biçimini okur ve yazar. Komutu yalnız dosya adıyla çalıştırdığında bulduğu bütün alanları okunur adlarla döker.

Windows, macOS ve Linux'ta çalışır. Aynı komut fotoğraf, video, PDF ve ofis belgesinde iş görür. Tek bir komutla dosyanın bütün katmanlarını görürsün.

Basın kitindeki depo fotoğrafıyla başla. Aşağıdaki çıktıda dosya boyutu ve görüntü ölçüsü gibi satırlar yer almıyor, yalnız ilgili alanlar duruyor.

$ exiftool depo-fotograf.jpg
Make                            : ExampleCam
Camera Model Name               : EC-70
Software                        : ExampleEdit 4.2
Modify Date                     : 2026:10:06 15:04:51
Date/Time Original              : 2026:07:14 10:32:08
Create Date                     : 2026:07:14 10:32:08
GPS Latitude Ref                : North
GPS Longitude Ref               : East
GPS Time Stamp                  : 09:21:40
GPS Img Direction Ref           : True North
GPS Img Direction               : 12
GPS Date Stamp                  : 2026:10:06
GPS Date/Time                   : 2026:10:06 09:21:40Z
GPS Latitude                    : 36 deg 51' 12.00" N
GPS Longitude                   : 30 deg 42' 30.00" E

Satırları gruplar halinde oku. Make ve Camera Model Name cihazı söyler. Software satırı dosyanın bir düzenleme yazılımından geçtiğini gösterir. Modify Date o yazılımın dosyayı son kaydettiği andır: 6 Ekim, 15:04.

Date/Time Original deklanşöre basıldığı anı, Create Date ise görüntünün sayısala çevrildiği anı tutar. Dijital kamerada ikisi genellikle aynıdır. Bu iki alan kameranın kendi saatine göre yazılır ve saat dilimi taşımaz. GPS satırları başka bir saatten gelir.

GPS Date/Time değerinin sonundaki Z harfi değerin UTC olduğunu söyler. GPS Img Direction 12 değeri, kameranın gerçek kuzeyin 12 derece doğusuna baktığını gösterir. Konum satırları derece, dakika ve saniye biçimindedir.

$ exiftool -a -G1 -s -Software -DateTimeOriginal -GPSDateTime depo-fotograf.jpg
[IFD0]          Software                        : ExampleEdit 4.2
[ExifIFD]       DateTimeOriginal                : 2026:07:14 10:32:08
[Composite]     GPSDateTime                     : 2026:10:06 09:21:40Z

-a seçeneği aynı adı taşıyan tekrarlı alanları da gösterir. -G1 her satırın başına alanın geldiği grubu yazar: IFD0, ExifIFD, GPS, XMP ya da MakerNotes gibi. -s okunur ad yerine alanın kısa adını basar; komutta kullandığın ad da budur.

Composite grubu dikkat ister. Bu alanlar dosyada yazılı değildir, ExifTool onları başka alanlardan hesaplar. GPSDateTime, GPS dizinindeki tarih ve saat alanlarının birleşimidir. Raporda bir değeri alıntılarken grubunu da yazarsan okuyan kişi aynı satırı kendi kopyasında bulur.

Konumu haritaya girmek için ondalık dereceye çevirirsin. Bir derece 60 dakika, bir dakika 60 saniyedir. 36°51'12" K için hesap şudur: 36 + 51/60 + 12/3600 = 36,853333. 30°42'30" D ise 30 + 42/60 + 30/3600 = 30,708333 eder.

Ref alanları işareti belirler. Güney enlemi ve batı boylamı eksi yazılır. Ref alanını unutan analist noktayı başka bir yarım küreye taşır. Ondalık basamak sayısı da anlam taşır.

Dördüncü basamak yaklaşık 11 metreye, altıncı basamak yaklaşık 11 santimetreye karşılık gelir. GPS alıcısının gerçek doğruluğu çoğu zaman birkaç metredir. Altı basamak bu yüzden sahte bir kesinlik gösterir.

$ exiftool -n -GPSLatitude -GPSLongitude depo-fotograf.jpg
GPS Latitude                    : 36.853333333
GPS Longitude                   : 30.708333333
$ exiftool -c "%.6f" -GPSPosition depo-fotograf.jpg
GPS Position                    : 36.853333 N, 30.708333 E

-n seçeneği değerleri biçimlendirmeden, ham sayı olarak basar. -c koordinat biçimini belirler ve "%.6f" altı basamaklı ondalık ister. Bu nokta, gölge, tabela ve harita sorgusuyla daralttığın depo adayının üstüne düşüyor.

İki bağımsız yol aynı yeri gösteriyor. Ama tek bir alan bile değiştirilmiş olabilir, bu yüzden eşleşme bir sonraki adıma kadar 'olası' kalır. Çoğu harita aracında enlem önce, boylam sonra yazılır.

GeoJSON gibi bazı biçimler sırayı tersine çevirir. Sıra karışırsa nokta başka bir ülkeye düşer.

Fotoğraf tek kaynak değildir. Basın kitindeki PDF ve Word belgeleri de kendi defterlerini taşır. PDF dosyasında Author yazarı, Creator belgeyi ilk üreten uygulamayı, Producer PDF'e çeviren yazılımı gösterir.

Title alanı çoğu zaman belgenin başlığını tutar. Bazı dönüştürücüler ise buraya kaynak dosyanın tam yolunu yazar. Word belgesi (docx) aslında bir ZIP arşividir.

İçindeki docProps klasöründe iki küçük XML dosyası durur. Biri yazarı, son kaydeden kişiyi ve tarihleri tutar. Öbürü uygulamayı, şirket adını, şablonu ve toplam düzenleme süresini tutar.

$ exiftool -Author -Creator -Producer -CreateDate -Title basin-kiti.pdf
Author                          : Kerem Tunç
Creator                         : ExampleOffice Word
Producer                        : ExamplePDF 3.1
Create Date                     : 2026:10:05 16:41:22+03:00
Title                           : C:\Users\ktunc\Desktop\BV\basin-kiti-v3-SON.docx

$ exiftool -LastModifiedBy -Template -Company -TotalEditTime duyuru.docx
Last Modified By                : depo-ant-pc07
Template                        : BV-Kurumsal-Sablon.dotx
Company                         : Beyaz Vadi Lojistik
Total Edit Time                 : 3.1 hours

Çıktıyı savunma gözüyle oku. Title satırı bir Windows kullanıcı adını sızdırıyor: ktunc. Adın baş harfi ile soyadını birleştiren bu kalıp, kurumun kullanıcı adı düzenini de ele verebilir.

Last Modified By satırında bir bilgisayar adı var: depo-ant-pc07. Ad, kurumun cihaz adlandırma düzenini gösteriyor: birim, il ve sıra numarası. Template iç şablonun adını, Total Edit Time belgenin üç saat düzenlendiğini söylüyor.

Tek satır zararsız görünür. Hepsi birleşince bir saldırgan kullanıcı adı kalıbını, cihaz adlarını ve iç dosya düzenini öğrenir. Arşivlenmiş eski PDF'ler aynı bilgiyi yıllarca taşır. Wayback CDX ile çıkardığın PDF listesi bu yüzden meta veri taramasının iyi bir girdisidir.

Bir fotoğrafta en az üç saat vardır ve her biri farklı kaynaktan gelir. Birincisi kameranın kendi saatidir. DateTimeOriginal ve CreateDate bu saate göre yazılır.

Saat yanlış kurulmuşsa ya da pil değişiminde sıfırlanmışsa alanlar da yanlış olur. Exif 2.31 sürümüyle gelen OffsetTimeOriginal alanı saat dilimini yazar, ama pek çok cihaz bu alanı doldurmaz.

İkincisi GPS saatidir. GPSDateStamp ve GPSTimeStamp uydudan alınan zamanla yazılır ve standart gereği UTC'dir. Üçüncüsü dosya sisteminin saatidir. Dosya kopyalandığında ya da indirildiğinde değişir ve çekim anı hakkında neredeyse hiçbir şey söylemez.

ZAMAN KARŞILAŞTIRMASI: depo-fotograf.jpg (36.853333 N, 30.708333 E)
Kaynak              Değer                   Türkiye saati      O anda beklenen gölge
DateTimeOriginal    2026:07:14 10:32:08     dilim yazmıyor     batının biraz kuzeyi (284°), oran 0,73
GPSDateTime         2026:10:06 09:21:40Z    6 Ekim 12:21:40    kuzeyin 9° batısı (351°), oran 0,91
ModifyDate          2026:10:06 15:04:51     dilim yazmıyor     düzenleme anı, gölgeyle ilgisiz
Paylaşım            6 Ekim 2026, öğleden sonra                 fotoğraf bundan önce çekildi
Fotoğraftaki gölge  kuzeye, hafif batıya; oran yaklaşık 0,9

Tabloyu kamera saatinden başlayarak oku. Kamera saati 14 Temmuz sabahını gösteriyor. O anda bu koordinatta güneş doğudadır, 54 derece yüksekliktedir ve gölge batıya düşer. Temmuzda bu enlemde 0,9 oranlı gölge yalnız sabah 10 civarında batıya, öğleden sonra 16 civarında doğuya düşer.

Kuzeye düşen 0,9 oranlı bir gölge o ay hiç oluşmaz. GPS saati ise 6 Ekim 12:21'i gösteriyor ve o anın gölgesi fotoğraftakiyle örtüşüyor. Paylaşım zamanı da bu tarihle uyumlu.

Üç ipucu aynı yöne bakıyor, kamera saati yalnız kalıyor. İki açıklama mümkündür: kameranın saati yanlış kurulmuştur ya da biri DateTimeOriginal alanını değiştirmiştir.

Meta veri tek başına hangi açıklamanın doğru olduğunu söylemez. Örnek, EXIF'in ikinci sınırını da gösterir. Alanlar dosyaya yazılmış metindir. ExifTool okuduğu her alanı yazabilir de.

Bir tarih ya da koordinat birkaç saniyede değişir ve dosyada iz kalmayabilir. GPS alanları da bu kuralın dışında değildir. Meta veriyi bu yüzden kanıt değil, iddia olarak okursun. İddiayı görüntünün kendisiyle sınarsın: gölge, mevsim, bitki örtüsü ve görünen yapılar.

Fiziksel ipucu ile meta veri uyuşuyorsa güven artar. Uyuşmuyorsa çelişki kendi başına bir bulgudur. Raporda çelişkiyi yazar, olası çekim anını 'GPS saati ve gölgeyle uyumlu' diye etiketlersin.

Meta veriyi kanıt olarak sunacaksan dosyanın kendisini korursun. Ekran görüntüsü yetmez, çünkü ham dosya olmadan başka biri aynı alanları okuyamaz. NIST SP 800-86, olay müdahalesinde adli tekniklerin kullanımına dair bir rehberdir. Rehber verinin bütünlüğünü özet değerleriyle doğrulamayı ve incelemeyi kopya üzerinde yapmayı önerir.

Akış şöyledir: ham dosyayı indirirsin, hemen SHA-256 özetini alır ve deftere yazarsın. Sonra bir çalışma kopyası çıkarır, bütün okumaları kopyada yaparsın. İş bitince özgün dosyanın özetini yeniden alırsın. İki özet aynıysa dosyaya dokunulmadığını gösterirsin.

$ sha256sum depo-fotograf.jpg
0706a86dda981f416caeac0ba811624a67a448e6fe0cdeea6d40348553372d23  depo-fotograf.jpg
$ cp depo-fotograf.jpg calisma/depo-fotograf.jpg
$ exiftool -a -G1 -s calisma/depo-fotograf.jpg > calisma/meta.txt
$ sha256sum depo-fotograf.jpg
0706a86dda981f416caeac0ba811624a67a448e6fe0cdeea6d40348553372d23  depo-fotograf.jpg

İlk ve son satırdaki özet aynı, okuma işlemi dosyayı değiştirmedi. ExifTool okurken dosyaya yazmaz, ama yazma komutlarında dikkat ister. Bir alanı değiştirdiğinde özgün dosyayı _original ekiyle yedekler. -overwrite_original seçeneği bu yedeği almaz.

Kanıt dosyasında yazma komutu hiç çalıştırılmaz. Okuma sonucunu da bir metin dosyasına alırsın, böylece rapordaki her değerin kaynağı bir dosyada durur. Özet değeri rapora dosya adı ve indirme zamanıyla birlikte yazılır.

Savunma tarafında aynı alanlar bir sızıntı kanalıdır. Beyaz Vadi'nin basın kiti deponun koordinatını, bir çalışanın adını, kullanıcı adı kalıbını ve bir cihaz adını dışarı veriyor. Çözüm yayın akışına bir temizleme adımı eklemektir. Dosya dosya elle temizlemek sürdürülemez ve bir gün atlanır.

Kalıcı çözüm süreçtedir, dikkatte değil. Kurum yayın kopyasını temizler ve sonucu doğrular. Temizleme adımı fotoğraflara, PDF'lere ve ofis belgelerine aynı kuralla uygulanır.

$ exiftool -all= -overwrite_original yayin/depo-fotograf.jpg
    1 image files updated
$ exiftool -GPS:all -Make -Model -DateTimeOriginal yayin/depo-fotograf.jpg
$

İlk komut yazılabilen bütün meta veri alanlarını siler ve dosyayı yerinde günceller. Bu yüzden yalnız yayın kopyasında çalıştırılır, arşivdeki özgün dosyada değil.

İkinci komut doğrulamadır ve boş çıktı beklenen sonuçtur. Temizlemenin bir yan etkisi vardır. Yön (Orientation) alanı ve renk profili de gider.

Görsel yan dönebilir ya da renkleri hafif değişebilir. Bunu yayın aracında düzeltirsin. Belgeler için ofis yazılımlarının belge denetleme özelliği yazar adını ve gizli alanları kaldırır. PDF'e çevirirken belge özelliklerini dışa aktarmayan ayar seçilir.

Temizlemenin öbür ucunda yeni bir yaklaşım duruyor. C2PA içerik kimlik bilgileri dosyaya imzalı bir kaynak kaydı ekler. Kayıt, içeriği kimin ve hangi araçla ürettiğini, hangi düzenlemelerden geçtiğini yazar ve imzayla korunur.

Kurum gizlemek istediği alanları siler, ama yayının kendisinden geldiğini göstermek için imzalı kaydı ekleyebilir. İmzalı kayıt, kurumun adıyla dolaşan sahte bir kopyayı gerçeğinden ayırmayı da kolaylaştırır. c2patool gibi araçlar bu kaydı okur ve imzanın bozulup bozulmadığını gösterir.