I PDF protetti da password e i loro limiti
Il mio PDF è protetto e lo strumento dice che non può modificarlo. Perché, e quali alternative ho?
Le password sono due, e sono diverse
La cifratura dei PDF, definita in ISO 32000, distingue una password utente da una password proprietario. La password utente — spesso chiamata password di apertura — è necessaria anche solo per decifrare il documento. Senza di essa i content stream sono testo cifrato e nessun software riesce a leggere una sola pagina. La password proprietario è un'altra cosa: il documento si apre anche senza, ma il dizionario di cifratura contiene dei flag di autorizzazione che indicano cosa un lettore conforme dovrebbe rifiutare di consentire, come stampare, copiare il testo o modificare il file.
Questa distinzione spiega gran parte della confusione. Un documento che si apre all'istante ma non ti lascia copiare un paragrafo non è «sbloccato»: è cifrato con una password utente vuota e una serie di restrizioni.
Cosa protegge davvero la cifratura
| Password | Serve per aprire? | Cosa protegge | Quanto è robusta |
|---|---|---|---|
| Password utente (di apertura) | Sì | Il contenuto stesso: stream e stringhe sono cifrati | Robusta quanto il cifrario e la password scelta |
| Password proprietario (autorizzazioni) | No | Nulla dal punto di vista crittografico: imposta flag che si chiede al lettore di rispettare | Solo indicativa |
I flag di autorizzazione sono una richiesta rivolta al software beneducato, non un meccanismo che impone qualcosa. I byte vengono decifrati nel momento in cui il documento si apre, quindi qualsiasi programma che decida di ignorare i flag può farlo. Consideralo una dichiarazione di intenti: utile per segnalare come andrebbe usato un documento, inutile come controllo di sicurezza.
Perché un editor rifiuta il file
Per ristrutturare un PDF — unirlo, dividerlo, ruotarne le pagine, eliminare gli oggetti inutilizzati — una libreria deve analizzare il grafo degli oggetti. In un documento cifrato, le stringhe e gli stream che compongono quel grafo sono testo cifrato finché non viene derivata la chiave giusta. Non c'è niente da analizzare. Non è una scelta di policy dello strumento: lì un documento non c'è ancora davvero.
Per questo gli strumenti PDF strutturali di FileSlimmer sono disattivati per un documento cifrato, e lo dicono, invece di fallire a metà strada con un risultato corrotto. È il comportamento corretto, anche se è il meno comodo.
Che fine fa la password che digiti
Dove è previsto un percorso assistito da password, la password serve a derivare la chiave di decifratura in memoria, in questa scheda del browser, per il tempo in cui l'operazione è in corso. Non viene scritta nel local storage, non viene scritta nella cache del Service Worker, non finisce in un URL e non viene trasmessa: in questa applicazione non c'è alcun server a cui trasmetterla. Quando chiudi la scheda, sparisce.
Vale comunque la pena essere accorti su dove digiti una password, qualunque essa sia. Un'estensione del browser può leggere il contenuto di una pagina, e questo vale per ogni sito web, compreso questo. Se un documento è così delicato da rendere importante questo aspetto, sbloccalo piuttosto con un software desktop offline di cui ti fidi.
Cosa questo strumento non farà
- Non proverà a recuperare né a forzare con attacchi a forza bruta una password che non hai.
- Non rimuoverà una password proprietario per aggirare i flag di autorizzazione su un documento su cui non hai diritti.
- Non produrrà in silenzio una copia decifrata di un documento che hai aperto con una password: rimuovere la protezione è un'azione separata ed esplicita.
- Non farà finta che un flag di autorizzazione sia un confine di sicurezza.
Rimuovere la protezione da un documento che non hai il diritto di modificare può anche violare un contratto o una legge del posto in cui vivi. È una questione che riguarda te e, se il caso lo richiede, un avvocato: non uno strumento di compressione.
Alternative realistiche quando sei bloccato
- Chiedi una copia non protetta a chi ha prodotto il documento. È di gran lunga la soluzione più frequente e richiede un solo messaggio.
- Se hai la password di apertura, usala: con il documento decifrato ogni operazione ordinaria torna disponibile.
- Se ti servono le pagine solo da guardare, stampa in PDF o esporta una copia rasterizzata. Perdi il livello di testo, i link e la struttura di accessibilità, e conservi l'aspetto.
- Se il documento è firmato oltre che cifrato, fermati e ripensaci. Qualsiasi modifica invalida la firma, e un documento firmato di solito esiste proprio perché qualcuno dovrà verificarlo in seguito.
Un'ultima limitazione
Le revisioni più vecchie della cifratura PDF usavano una derivazione della chiave debole e chiavi corte, e sono considerate compromesse. Le revisioni più recenti usano AES con una funzione di derivazione adeguata. Non puoi capire a occhio quale delle due usi un documento, e uno strumento che apre in fretta un file vecchio non è la prova che si comporterà allo stesso modo con uno nuovo. Se stai scegliendo come proteggere un documento che stai producendo, scegli software aggiornato e una password lunga, invece di affidarti alla storia del formato.
Strumenti utili
Fonti
- ISO 32000-2 — Document management, Portable Document Format
- Adobe — PDF 32000-1:2008, clause 7.6 on encryption and permissions
- NIST FIPS 197 — the Advanced Encryption Standard