Jak zabezpieczyć PDF hasłem: hasło otwarcia, uprawnienia, AES

Format PDF definiuje dwa hasła, a większość nieporozumień wynika z traktowania ich jako jednego. Hasło otwarcia, które specyfikacja nazywa hasłem użytkownika, ma znaczenie dla prywatności. Gdy jest ustawione, każda strona, obraz, pole formularza i załącznik są zaszyfrowane, a bajty w pliku są szumem, dopóki ktoś nie wpisze hasła. Odbiorca, który prześle plik niewłaściwej osobie, albo skradziony laptop nie ujawnią niczego, dopóki hasło pozostaje tajne.

Hasło uprawnień, zwane hasłem właściciela, działa inaczej. Pozwala autorowi wyłączyć drukowanie, kopiowanie tekstu, wypełnianie formularzy, komentowanie lub edycję stron. Dokument nadal otwiera się bez żadnego monitu, więc czytelnik widzi każde słowo. Ograniczenia to flagi zapisane w pliku i to przeglądarka decyduje, czy je respektuje. Acrobat, Chrome, Edge, Firefox i Podgląd to robią i wyszarzają odpowiednie pozycje menu. Przeglądarka lub biblioteka, która zignoruje flagi, może drukować i kopiować, bo treść nigdy nie była przed nią ukryta.

W praktyce daje to trzy kombinacje. Samo hasło otwarcia stosuj do wszystkiego, co prywatne: pasków wypłat, zeznań podatkowych, pism medycznych, umów w trakcie negocjacji. Samo hasło uprawnień stosuj do dokumentów, które mają być publiczne, ale trudne do zmiany, jak podpisany cennik. Oba hasła stosuj, gdy plik mogą czytać tylko wskazane osoby i nie powinny go edytować, a hasła muszą być różne, bo inaczej każdy, kto otworzy plik, może też zdjąć ograniczenia.

Szyfrowanie PDF było wielokrotnie zmieniane od pierwszej wersji z 1994 roku, a starsze metody pozostają odczytywalne ze względu na zgodność. 40-bitowy klucz RC4 z PDF 1.1 można złamać metodą brute force na zwykłym komputerze, a 128-bitowy RC4 z PDF 1.4 używa szyfru, który nie jest już uważany za bezpieczny. AES-128 pojawił się w PDF 1.6 i Acrobacie 7. AES-256 przyszedł z Acrobatem 9, a Acrobat X zastąpił pierwszy 256-bitowy schemat Adobe silniejszym sprawdzaniem hasła; tę wersję zachowuje ISO 32000-2, czyli standard PDF 2.0, który uznaje RC4 za przestarzały.

Dla niemal wszystkich wybór jest prosty: AES-256. Otwiera go każda aktualna przeglądarka plików w Windows, macOS, iOS, Androidzie i głównych przeglądarkach internetowych. Przejdź na AES-128 tylko wtedy, gdy konkretny odbiorca używa oprogramowania zbyt starego na pliki 256-bitowe, na przykład systemu obiegu dokumentów nieaktualizowanego od piętnastu lat. W Acrobacie menu Zgodność dokonuje tego wyboru za Ciebie: Acrobat X i nowsze oznacza AES-256, Acrobat 7 i nowsze oznacza AES-128, a wszystko starsze oznacza RC4.

Być może masz już program, który potrafi zaszyfrować plik PDF. Płatny Acrobat Standard i Pro oferują najpełniejsze opcje, w tym osobne hasła otwarcia i uprawnień oraz opisane wyżej menu zgodności. Podgląd w macOS może dodać oba hasła w oknie eksportu; w nowszych wersjach macOS opcja kryje się za przyciskiem Uprawnienia, w starszych to pojedyncze pole Szyfruj. Word dla Windows może zaszyfrować PDF podczas tworzenia, ale tylko hasłem otwarcia o długości od 6 do 32 znaków i bez ustawień uprawnień.

Dwa popularne narzędzia w ogóle nie mają funkcji hasła. Microsoft Print to PDF, wirtualna drukarka wbudowana w Windows 10 i 11, zapisuje niezabezpieczony plik bez opcji zabezpieczeń, a cel Zapisz jako PDF w oknie drukowania Chrome działa tak samo. Jeśli Twój PDF powstał w jednym z nich, zaszyfruj go w drugim kroku. Niezależnie od narzędzia otwórz wynik raz i sprawdź, czy prosi o hasło; w Acrobat Reader Plik > Właściwości > Zabezpieczenia pokazuje metodę i uprawnienia.

Na Chromebooku, służbowym laptopie bez Acrobata lub na telefonie to samo zrobi narzędzie w przeglądarce. Zabezpiecz PDF hasłem, przesyłając jeden plik do 95 MB; UltKit domyślnie szyfruje go AES-256 i usuwa zarówno przesłany plik, jak i wynik 30 minut po przetworzeniu. Nie trzeba niczego instalować ani zakładać konta, co ma znaczenie na zablokowanym komputerze firmowym.

Wszelkie inne zmiany wprowadź wcześniej. Zaszyfrowanego PDF nie można ponownie skompresować ani połączyć bez hasła, więc jeśli plik jest za duży na limit poczty, skompresuj PDF przed zabezpieczeniem. Jeśli zawiera wypełnione odpowiedzi formularza, które nie mogą się zmienić, najpierw też go spłaszcz. Szyfrowanie dodaje tylko mały słownik zabezpieczeń, więc zabezpieczona kopia ma mniej więcej taki sam rozmiar jak oryginał.

Najczęstszy błąd to wysłanie hasła w tym samym e-mailu co załącznik albo w drugim e-mailu minutę później. Każdy, kto ma dostęp do tej skrzynki, także osoba przekazująca dalej wątek, ma wtedy obie połówki. Użyj innego kanału: wyślij plik e-mailem, a hasło SMS-em, podyktuj je przez telefon lub ustal osobiście. Przy cyklicznej wymianie, na przykład miesięcznych zestawień dla tego samego klienta, ustal raz regułę hasła i nigdy nie zapisuj jej w wiadomości.

Wybierz hasło, które odbiorca wpisze bez błędów. Fraza z czterech lub pięciu niepowiązanych słów jest łatwiejsza do podyktowania przez telefon niż ciąg symboli i trudniejsza do odgadnięcia niż imię lub data urodzenia. Unikaj szczegółów, które współpracownicy odbiorcy mogą znaleźć, i nie używaj ponownie własnego hasła do poczty lub banku, bo zaraz podasz je komuś innemu.

Dokumenty podlegające regulacjom podnoszą stawkę. Akta kadrowe, dokumentacja medyczna i pisma prawne często podlegają przepisom takim jak HIPAA w Stanach Zjednoczonych, które wymienia szyfrowanie jako zabezpieczenie danych zdrowotnych, lub art. 32 RODO, który wskazuje szyfrowanie jako przykład odpowiednich środków bezpieczeństwa. Hasło otwarcia AES-256 na załączniku e-mail jest rozsądną częścią tego, ale nie całością: Twoja organizacja może wymagać bezpiecznego portalu, rejestrowania, kto co otrzymał, albo harmonogramu przechowywania. Sprawdź swoją politykę, zanim w ogóle wybierzesz e-mail.

Szyfrowanie chroni plik w spoczynku i w transmisji. Gdy właściwa osoba go otworzy, treść jest na jej ekranie, a nic w formacie PDF nie powstrzyma zrzutu ekranu, zdjęcia monitora telefonem ani rozpoznawania tekstu na jednym z nich. Ograniczenia drukowania nie działają w przeglądarce, która je ignoruje, a jeśli drukowanie jest dozwolone, wydruk do wirtualnej drukarki PDF może dać niezabezpieczoną kopię. Traktuj ograniczenia jako uprzejmość wobec uczciwych czytelników, a nie obronę.

Niektóre szczegóły są też widoczne bez hasła. Nazwa pliku nigdy nie jest szyfrowana, więc Smith_HIV_results.pdf zdradza to, co ukrywa zaszyfrowana treść; nazywaj wrażliwe pliki neutralnie. Przy wyłączonej opcji Szyfruj metadane tytuł, autora i słowa kluczowe może odczytać każdy. Temat e-maila, nadawca i odbiorca, rozmiar załącznika i data są widoczne dla każdego serwera pocztowego na trasie, a archiwum ZIP z szyfrowaniem AES ukrywa nazwy plików tylko wtedy, gdy jego format pozwala je szyfrować.

Gdy znasz hasło, jego usunięcie to rutyna. Wyciąg bankowy, który otwierasz co tydzień, albo dokument zaszyfrowany przez Ciebie, który teraz trzeba edytować, można odblokować znanym hasłem: wpisz je w polu Obecne hasło, naciśnij Odblokuj i zachowaj niezabezpieczoną kopię w prywatnym miejscu. Aby zmienić hasło, odblokuj plik i zabezpiecz go ponownie nowym. Usuń tylko ograniczenia zdejmuje limity drukowania i kopiowania, zachowując hasło otwarcia.

Zapomniane hasło otwarcia to inna sprawa, a szczera odpowiedź jest krótka. PDF zaszyfrowanego AES-256 z silnym hasłem nie odzyska nikt, także Adobe, bo nie istnieje klucz główny ani tylne drzwi. Programy do odzyskiwania haseł działają wyłącznie przez zgadywanie, co się udaje przy słabych hasłach i starych plikach RC4, a zawodzi przy długiej frazie. Poproś nadawcę o hasło lub nową kopię, poszukaj reguły hasła w e-mailu, którym przyszedł plik, i trzymaj własne oryginały niezaszyfrowane w bezpiecznym miejscu.

Przejdź przez tę listę raz dla każdego dokumentu. Zajmuje to minutę i obejmuje błędy, które najczęściej psują inaczej mocne zabezpieczenie, od zdradzającej nazwy pliku po hasło leżące w tej samej skrzynce co załącznik.