İki PDF’nin SHA-256 özeti aynıysa imzalayan kişinin kimliği de doğrulanmış olur mu?
İki PDF dosyasının SHA-256 özetini karşılaştırdım ve değerler aynı çıktı. Bu sonuç, PDF’yi imzalayan kişinin kimliğini de doğrulamış olduğum anlamına gelir mi?
Hayır. SHA-256 özetlerinin eşleşmesi, doğru dosyalar üzerinde aynı yöntemle yapılan karşılaştırmada dosya içeriklerinin aynı olduğuna güçlü bir teknik işarettir; imzalayan kişinin kimliğini tek başına doğrulamaz. Bu sonuç PDF’de dijital imza bulunduğunu, sertifikanın güvenilirliğini veya kişinin o işlem için yetkisini de göstermez. İmzalı belgede kimlik ve imza kontrolü, dosya özeti karşılaştırmasından ayrı yürütülmelidir.
SHA-256, dosyanın verisinden sabit uzunlukta bir özet üretir. NIST’in tanımında kriptografik özet işlevleri, aynı özeti veren farklı girdileri bulmayı hesaplama açısından uygulanamaz kılacak biçimde tasarlanır. Dolayısıyla özet eşleşmesini pratik dosya karşılaştırmasında kullanabilirsiniz; ancak bunu matematiksel olarak farklı iki dosyanın aynı özeti asla üretemeyeceği iddiasına dönüştürmeyin. Bu küçük teknik sınır, asıl ayrımı değiştirmez: özet bir kişinin kimlik belgesi değildir.
İmzasız bir PDF’nin iki kopyası da aynı özeti verebilir. Aynı şekilde yanlış kaynaktan aldığınız dosyanın kopyasıyla onu karşılaştırmanız, yalnız elinizdeki kopyaların uyuştuğunu gösterir. Referans dosyanın nereden geldiği ve önceden nasıl doğrulandığı ayrıca önemlidir. Dosyayla birlikte gönderilmiş bir özet metni, gönderenin kimliğini kendi başına kanıtlamaz; iki çıktıyı birbirinden bağımsız bir kimlik kontrolü sanmayın.
Dijital imzada ise imza kaydı ve imzalayanla ilişkilendirilen sertifika değerlendirilir. NIST, doğru uygulanan dijital imzanın köken doğrulaması ve veri bütünlüğü için bir mekanizma sağladığını açıklar. Adobe de imzalı içerik ile imzalayanın doğrulanmasını, sertifikaya veya onu veren üst sertifikalara güven kontrolüyle birlikte ele alır. Acrobat’ta belge bütünlüğü ve sertifika güveni ayrımı, özet karşılaştırmasından sonra hangi sonuca bakacağınızı anlamanıza yardımcı olur.
Daha önce doğrulanmış özgün PDF ile yeni kopyanın özetini karşılaştırmak, kopyalama veya aktarım kontrolünde yararlıdır. Yine de kaydınıza yalnız yaptığınız kontrolü yazın: dosya özeti eşleşti ile imza doğrulandı aynı sonuç değildir. Bir belge adına işlem yapma yetkisi de özet değerinden çıkarılamaz; gerekiyorsa ilgili kurumun yetki kaydını ayrıca inceleyin.
Örnek durum
Temsili örnek: E-postayla gelen teklif PDF’sini ortak klasöre kopyaladınız. İki dosyanın SHA-256 değeri aynıysa aktarım kontrolü açısından olumlu bir sonuç elde edersiniz. Fakat teklifin üzerindeki isim yalnız yazılmış bir metin olabilir; bu karşılaştırma onu dijital imzaya dönüştürmez. PDF’de imza varsa imza panelindeki kaydı ve sertifikayı ayrıca inceleyin. Referans dosya daha önce doğrulanmadıysa kopyasının eşleşmesi bu eksikliği gidermez.
Hangi durumlarda değişir?
Özetler farklıysa önce aynı sürümü ve aynı algoritmayı karşılaştırdığınızdan emin olun. Fark, tek başına bütün imzaların geçersiz olduğu veya hangi alanın değiştiği sonucunu vermez. İmzalanan sürüm ile son hâli karşılaştırma rehberi bu ayrı incelemeyi açıklar.
İmza sonucu belirsizse yalnız dosya özetleri eşleşiyor diye güven uyarısını kapatmayın. Kontrol için özel belgeyi rastgele bir çevrimiçi özet sitesine yüklemek yerine kurumunuzun onayladığı yerel aracı kullanın.
Kaynaklar ve inceleme
Yanıt, aşağıdaki resmî kaynaklar esas alınarak hazırlandı. Bağlantılar yeni sekmede açılır.
Son inceleme: 6 Kasım 2026