PDF beveiligen met wachtwoord: openwachtwoord, rechten, AES

Het PDF-formaat kent twee wachtwoorden en de meeste verwarring ontstaat doordat men ze als één ziet. Het wachtwoord om te openen, in de specificatie het user password genoemd, is het wachtwoord dat telt voor privacy. Als het is ingesteld, zijn alle pagina's, afbeeldingen, formuliervelden en bijlagen versleuteld en bestaat het bestand uit ruis totdat iemand het wachtwoord invoert. Als een ontvanger het bestand aan de verkeerde persoon doorstuurt of een laptop wordt gestolen, lekt er niets zolang het wachtwoord geheim blijft.

Het machtigingswachtwoord, het owner password, werkt anders. Hiermee kan de maker afdrukken, tekst kopiëren, formulieren invullen, opmerkingen plaatsen of pagina's bewerken uitschakelen. Het document opent nog steeds zonder vraag, dus de lezer ziet elk woord. De beperkingen zijn vlaggen in het bestand en het is aan de viewer om ze te respecteren. Acrobat, Chrome, Edge, Firefox en Preview doen dat en maken de bijbehorende menu-items grijs. Een viewer of bibliotheek die de vlaggen negeert, kan toch afdrukken en kopiëren, omdat de inhoud nooit verborgen was.

In de praktijk levert dat drie combinaties op. Gebruik alleen een wachtwoord om te openen voor alles wat privé is: loonstroken, belastingaangiftes, medische brieven, contracten in onderhandeling. Gebruik alleen een machtigingswachtwoord voor documenten die openbaar mogen zijn maar lastig te wijzigen moeten zijn, zoals een ondertekende prijslijst. Gebruik beide als alleen bepaalde personen het bestand mogen lezen en niet mogen bewerken, en kies twee verschillende wachtwoorden, anders kan iedereen die het bestand kan openen ook de beperkingen opheffen.

PDF-versleuteling is sinds de eerste versie in 1994 meerdere keren herzien en oudere methoden blijven om compatibiliteitsredenen leesbaar. De 40-bits RC4-sleutel van PDF 1.1 kan op een gewone computer met brute kracht worden gekraakt en 128-bits RC4 uit PDF 1.4 gebruikt een cijfer dat niet meer als veilig geldt. AES-128 kwam met PDF 1.6 en Acrobat 7. AES-256 kwam met Acrobat 9 en Acrobat X verving Adobe's eerste 256-bits schema door een sterkere wachtwoordcontrole. Die versie behoudt ISO 32000-2, de PDF 2.0-standaard, terwijl RC4 daarin is afgeraden.

Voor vrijwel iedereen is de keuze simpel: AES-256. Elke actuele lezer op Windows, macOS, iOS, Android en in de grote browsers opent het. Kies alleen AES-128 als een specifieke ontvanger software gebruikt die te oud is voor 256-bits bestanden, zoals een documentbeheersysteem dat al vijftien jaar niet is bijgewerkt. In Acrobat maakt het menu Compatibility deze keuze voor u: Acrobat X en hoger betekent AES-256, Acrobat 7 en hoger betekent AES-128 en alles wat ouder is betekent RC4.

Misschien hebt u al software die een PDF kan versleutelen. Het betaalde Acrobat Standard en Pro hebben de meest complete opties, inclusief aparte wachtwoorden om te openen en voor machtigingen en het hierboven beschreven compatibiliteitsmenu. macOS Preview kan beide wachtwoorden toevoegen in het exportvenster; in recente macOS-versies zit de optie achter een knop Machtigingen, in oudere is het één selectievakje Versleutel. Word voor Windows kan een PDF versleutelen tijdens het maken, maar alleen met een wachtwoord om te openen van 6 tot 32 tekens en zonder machtigingsinstellingen.

Twee veelgebruikte tools hebben helemaal geen wachtwoordfunctie. Microsoft Print to PDF, de virtuele printer in Windows 10 en 11, schrijft een onbeveiligd bestand zonder beveiligingsopties en de bestemming Opslaan als PDF van Chrome in het afdrukvenster doet hetzelfde. Komt uw PDF uit een van beide, versleutel hem dan in een tweede stap. Open het resultaat hoe dan ook één keer en controleer of het om het wachtwoord vraagt; in Acrobat Reader toont Bestand > Eigenschappen > Beveiliging de methode en de machtigingen.

Op een Chromebook, een werklaptop zonder Acrobat of een telefoon doet een browsertool hetzelfde werk. Beveilig de PDF met een wachtwoord door één bestand van maximaal 95 MB te uploaden; UltKit versleutelt het standaard met AES-256 en verwijdert zowel de upload als het resultaat 30 minuten na de verwerking. U hoeft niets te installeren en geen account aan te maken, wat handig is op een afgeschermde kantoorcomputer.

Doe eerst alle andere bewerkingen. Een versleutelde PDF kan zonder het wachtwoord niet opnieuw worden gecomprimeerd of samengevoegd. Is het bestand dus te groot voor de limiet van een e-mail, comprimeer de PDF dan voordat u hem beveiligt. Bevat hij ingevulde formulierantwoorden die niet mogen veranderen, vlak hem dan ook eerst af. Versleuteling voegt slechts een klein beveiligingswoordenboek toe, dus de beveiligde kopie is ongeveer even groot als het origineel.

De meest gemaakte fout is het wachtwoord in dezelfde e-mail als de bijlage sturen, of in een tweede e-mail een minuut later. Wie die mailbox kan lezen, ook iemand die de thread doorstuurt, heeft dan beide helften. Gebruik een ander kanaal: mail het bestand en sms het wachtwoord, lees het voor tijdens een gesprek of spreek het persoonlijk af. Spreek bij een terugkerende uitwisseling, zoals maandelijkse overzichten voor dezelfde klant, eenmalig een wachtwoordregel af en schrijf die nooit in het bericht.

Kies een wachtwoord dat de ontvanger zonder fouten kan typen. Een wachtzin van vier of vijf losse woorden is makkelijker aan de telefoon te dicteren dan een reeks symbolen en moeilijker te raden dan een naam of geboortedatum. Vermijd gegevens die collega's van de ontvanger kunnen opzoeken en hergebruik niet uw eigen e-mail- of bankwachtwoord, want u staat op het punt het met een ander te delen.

Bij gereguleerde documenten staat er meer op het spel. Personeelsdossiers, medische gegevens en juridische stukken vallen vaak onder regels zoals HIPAA in de Verenigde Staten, die versleuteling noemt als waarborg voor gezondheidsgegevens, of artikel 32 van de AVG, die versleuteling noemt als voorbeeld van passende beveiliging. Een AES-256-wachtwoord om te openen op een e-mailbijlage is daar een verstandig onderdeel van, maar niet het geheel: uw organisatie kan een beveiligd portaal eisen, registratie van wie wat heeft ontvangen of een bewaartermijn. Controleer uw beleid voordat u überhaupt voor e-mail kiest.

Versleuteling beschermt het bestand in rust en tijdens verzending. Zodra de juiste persoon het opent, staat de inhoud op diens scherm en niets in het PDF-formaat kan een screenshot, een foto van het beeldscherm met een telefoon of tekstherkenning daarop tegenhouden. Afdrukbeperkingen overleven een viewer die ze negeert niet en als afdrukken is toegestaan, kan afdrukken naar een virtuele PDF-printer een onbeveiligde kopie opleveren. Zie beperkingen als een beleefdheid richting eerlijke lezers, niet als verdediging.

Sommige gegevens zijn ook zonder wachtwoord zichtbaar. De bestandsnaam wordt nooit versleuteld, dus Smith_HIV_results.pdf verraadt wat een versleutelde inhoud verbergt; geef gevoelige bestanden een neutrale naam. Als Metadata versleutelen uit staat, kan iedereen de titel, auteur en trefwoorden lezen. Het onderwerp van de e-mail, de afzender en ontvanger, de grootte van de bijlage en de datum zijn zichtbaar voor elke mailserver onderweg, en een ZIP-archief met AES-versleuteling verbergt bestandsnamen alleen als het formaat het versleutelen daarvan ondersteunt.

Als u het wachtwoord weet, is het verwijderen ervan routine. Een bankafschrift dat u elke week opent, of een document dat u zelf hebt versleuteld en nu wilt bewerken, kunt u ontgrendelen met het wachtwoord dat u kent: typ het bij Huidig wachtwoord, klik op Ontgrendelen en bewaar de onbeveiligde kopie op een privéplek. Wilt u een wachtwoord wijzigen, ontgrendel het bestand dan en beveilig het opnieuw met het nieuwe wachtwoord. Alleen beperkingen verwijderen heft de beperkingen voor afdrukken en kopiëren op en behoudt het wachtwoord om te openen.

Een vergeten wachtwoord om te openen is iets anders en het eerlijke antwoord is kort. Een PDF die is versleuteld met AES-256 en een sterk wachtwoord kan door niemand worden hersteld, ook niet door Adobe, want er is geen hoofdsleutel of achterdeur. Programma's voor wachtwoordherstel werken alleen door te raden, wat lukt bij zwakke wachtwoorden en oude RC4-bestanden en mislukt bij een lange wachtzin. Vraag de afzender om het wachtwoord of een nieuwe kopie, zoek de wachtwoordregel in de e-mail waarmee u het bestand ontving en bewaar uw eigen originelen onversleuteld op een veilige plek.

Loop deze lijst één keer per document door. Het kost een minuut en dekt de fouten die een verder sterke opzet het vaakst tenietdoen, van een verklappende bestandsnaam tot een wachtwoord in dezelfde inbox als de bijlage.