Cum protejați un PDF cu parolă: parole, permisiuni, AES

Formatul PDF definește două parole, iar cele mai multe confuzii apar din tratarea lor ca una singură. Parola de deschidere, numită în specificație parola utilizatorului, este cea importantă pentru confidențialitate. Când este setată, fiecare pagină, imagine, câmp de formular și atașament este criptat, iar octeții din fișier sunt zgomot până când cineva introduce parola. Dacă destinatarul trimite fișierul unei persoane greșite sau dacă un laptop este furat, nu se dezvăluie nimic cât timp parola rămâne secretă.

Parola pentru permisiuni, numită parola proprietarului, funcționează diferit. Permite autorului să dezactiveze tipărirea, copierea textului, completarea formularelor, comentariile sau editarea paginilor. Documentul se deschide fără nicio solicitare, deci cititorul vede fiecare cuvânt. Restricțiile sunt indicatori stocați în fișier, iar respectarea lor depinde de aplicația de vizualizare. Acrobat, Chrome, Edge, Firefox și Preview le respectă și dezactivează elementele de meniu corespunzătoare. O aplicație sau o bibliotecă care alege să ignore indicatorii poate tipări și copia oricum, fiindcă conținutul nu i-a fost niciodată ascuns.

În practică, rezultă trei combinații. Folosiți doar o parolă de deschidere pentru tot ce este privat: fluturași de salariu, declarații fiscale, scrisori medicale, contracte aflate în negociere. Folosiți doar o parolă pentru permisiuni pentru documente care ar trebui să fie publice, dar greu de modificat, precum o listă de prețuri semnată. Folosiți ambele când doar anumite persoane au voie să citească fișierul și nu trebuie să îl poată edita, iar cele două parole să fie diferite, altfel oricine poate deschide fișierul poate și ridica restricțiile.

Criptarea PDF a fost revizuită de mai multe ori de la prima versiune din 1994, iar metodele mai vechi rămân citibile pentru compatibilitate. Cheia RC4 de 40 de biți din PDF 1.1 poate fi spartă prin forță brută pe un computer obișnuit, iar RC4 pe 128 de biți din PDF 1.4 folosește un algoritm care nu mai este considerat sigur. AES-128 a apărut cu PDF 1.6 și Acrobat 7. AES-256 a venit cu Acrobat 9, iar Acrobat X a înlocuit prima schemă de 256 de biți a Adobe cu o verificare mai puternică a parolei, versiune pe care o păstrează ISO 32000-2, standardul PDF 2.0, care declară RC4 depășit.

Pentru aproape toată lumea alegerea este simplă: AES-256. Îl deschid toate aplicațiile actuale de pe Windows, macOS, iOS, Android și din principalele browsere. Treceți la AES-128 doar când un anumit destinatar folosește un program prea vechi pentru fișiere pe 256 de biți, cum ar fi un sistem de gestionare a documentelor neactualizat de cincisprezece ani. În Acrobat, meniul Compatibility face această alegere pentru dvs.: Acrobat X și ulterioare înseamnă AES-256, Acrobat 7 și ulterioare înseamnă AES-128, iar orice mai vechi înseamnă RC4.

Este posibil să aveți deja un program care poate cripta un PDF. Acrobat Standard și Pro, cu plată, au cele mai complete controale, inclusiv parole separate de deschidere și de permisiuni și meniul de compatibilitate descris mai sus. Preview din macOS poate adăuga ambele parole în fereastra de export; în versiunile recente de macOS opțiunea se află în spatele butonului Permissions, iar în cele mai vechi este o singură casetă Encrypt. Word pentru Windows poate cripta un PDF la crearea lui, dar doar cu o parolă de deschidere de 6 până la 32 de caractere și fără setări de permisiuni.

Două instrumente comune nu au deloc funcție de parolă. Microsoft Print to PDF, imprimanta virtuală din Windows 10 și 11, scrie un fișier neprotejat, fără opțiuni de securitate, iar destinația Save as PDF din fereastra de tipărire a Chrome este la fel. Dacă PDF-ul provine de la unul dintre ele, criptați-l într-un al doilea pas. Indiferent ce folosiți, deschideți rezultatul o dată și verificați că cere parola; în Acrobat Reader, File > Properties > Security arată metoda și permisiunile.

Pe un Chromebook, pe un laptop de serviciu fără Acrobat sau pe telefon, un instrument din browser face aceeași treabă. Protejați PDF-ul cu parolă încărcând un singur fișier de până la 95 MB; UltKit îl criptează implicit cu AES-256 și șterge atât fișierul încărcat, cât și rezultatul la 30 de minute după procesare. Nu trebuie instalat nimic și nu trebuie creat niciun cont, ceea ce contează pe un computer de birou cu restricții.

Faceți întâi celelalte modificări. Un PDF criptat nu poate fi recomprimat sau unit fără parolă, așa că, dacă fișierul este prea mare pentru limita unui e-mail, comprimați PDF-ul înainte de a-l proteja. Dacă are câmpuri de formular completate care nu trebuie să se schimbe, aplatizați-l mai întâi. Criptarea adaugă doar un mic dicționar de securitate, deci copia protejată are aproape aceeași mărime cu originalul.

Cea mai frecventă greșeală este trimiterea parolei în același e-mail cu atașamentul sau într-un al doilea e-mail, un minut mai târziu. Oricine poate citi acea căsuță poștală, inclusiv cineva căruia i se redirecționează conversația, are atunci ambele jumătăți. Folosiți un alt canal: trimiteți fișierul prin e-mail și parola prin SMS, spuneți-o la telefon sau stabiliți-o personal. Pentru un schimb recurent, cum sunt extrasele lunare către același client, stabiliți o dată o regulă pentru parolă și nu o scrieți niciodată în mesaj.

Alegeți o parolă pe care destinatarul o poate scrie fără greșeli. O frază-parolă din patru sau cinci cuvinte fără legătură este mai ușor de dictat la telefon decât un șir de simboluri și mai greu de ghicit decât un nume sau o dată de naștere. Evitați detaliile pe care colegii destinatarului le pot afla și nu refolosiți parola dvs. de e-mail sau de bancă, pentru că urmează să o împărtășiți cu altcineva.

Documentele reglementate ridică miza. Dosarele de resurse umane, fișele medicale și actele juridice intră adesea sub incidența unor reguli precum HIPAA din Statele Unite, care menționează criptarea ca măsură de protecție a datelor de sănătate, sau Articolul 32 din GDPR, care citează criptarea ca exemplu de securitate adecvată. O parolă de deschidere AES-256 pe un atașament de e-mail este o parte rezonabilă a acestui efort, dar nu este totul: organizația dvs. poate cere un portal securizat, înregistrarea celor care au primit documentele sau o perioadă de păstrare. Verificați politica internă înainte de a alege e-mailul.

Criptarea protejează fișierul în repaus și în tranzit. Odată ce persoana potrivită îl deschide, conținutul este pe ecranul ei, iar nimic din formatul PDF nu poate opri o captură de ecran, o fotografie a monitorului făcută cu telefonul sau recunoașterea textului aplicată pe oricare dintre ele. Restricțiile de tipărire nu rezistă unei aplicații care le ignoră, iar dacă tipărirea este permisă, tipărirea pe o imprimantă PDF virtuală poate produce o copie neprotejată. Tratați restricțiile ca pe o politețe față de cititorii cinstiți, nu ca pe o apărare.

Unele detalii sunt vizibile și fără parolă. Numele fișierului nu este niciodată criptat, deci Smith_HIV_results.pdf dezvăluie ceea ce ascunde conținutul criptat; denumiți neutru fișierele sensibile. Cu Criptează metadatele dezactivat, titlul, autorul și cuvintele-cheie pot fi citite de oricine. Subiectul e-mailului, expeditorul și destinatarul, mărimea atașamentului și data sunt vizibile pentru fiecare server de e-mail de pe traseu, iar o arhivă ZIP cu criptare AES ascunde numele fișierelor doar dacă formatul ei permite criptarea lor.

Când cunoașteți parola, eliminarea ei este o operație obișnuită. Un extras de cont pe care îl deschideți în fiecare săptămână sau un document criptat de dvs. pe care acum trebuie să îl editați pot fi deblocate cu parola pe care o cunoașteți: introduceți-o în Parola actuală, apăsați Deblochează și păstrați copia neprotejată într-un loc privat. Pentru a schimba o parolă, deblocați fișierul și protejați-l din nou cu cea nouă. Elimină doar restricțiile ridică limitele de tipărire și copiere, păstrând parola de deschidere.

O parolă de deschidere uitată este altceva, iar răspunsul sincer e scurt. Un PDF criptat cu AES-256 și o parolă puternică nu poate fi recuperat de nimeni, nici măcar de Adobe, pentru că nu există cheie principală sau ușă dosnică. Programele de recuperare a parolelor funcționează doar prin ghicire, ceea ce reușește împotriva parolelor slabe și a fișierelor RC4 vechi și eșuează împotriva unei fraze-parolă lungi. Cereți expeditorului parola sau o copie nouă, căutați regula parolei în e-mailul care a adus fișierul și păstrați originalele necriptate într-un loc sigur.

Parcurgeți această listă o dată pentru fiecare document. Durează un minut și acoperă greșelile care strică cel mai des o configurare altfel puternică, de la un nume de fișier revelator până la o parolă aflată în aceeași căsuță de e-mail cu atașamentul.