Met een wachtwoord beveiligde PDF's en hun grenzen
Mijn PDF is beveiligd en de tool zegt dat hij die niet kan bewerken. Hoe komt dat, en wat kan ik doen?
Er zijn twee verschillende wachtwoorden
PDF-versleuteling, gedefinieerd in ISO 32000, maakt onderscheid tussen een gebruikerswachtwoord en een eigenaarswachtwoord. Het gebruikerswachtwoord – vaak het openwachtwoord genoemd – is nodig om het document überhaupt te ontsleutelen. Zonder dat wachtwoord zijn de contentstreams cijfertekst en kan geen enkele software ook maar één pagina lezen. Het eigenaarswachtwoord is iets anders: het document opent zonder dat wachtwoord, maar de versleutelingsdictionary bevat permissievlaggen die aangeven wat een conforme viewer zou moeten weigeren, zoals afdrukken, tekst kopiëren of het bestand wijzigen.
Dat onderscheid verklaart de meeste verwarring. Een document dat meteen opent maar je geen alinea laat kopiëren, is niet “ontgrendeld” – het is versleuteld met een leeg gebruikerswachtwoord en een set beperkingen.
Wat de versleuteling werkelijk beschermt
| Wachtwoord | Nodig om te openen? | Wat het beschermt | Hoe sterk is het |
|---|---|---|---|
| Gebruikerswachtwoord (openen) | Ja | De inhoud zelf; streams en strings zijn versleuteld | Zo sterk als het cijfer en het gekozen wachtwoord |
| Eigenaarswachtwoord (permissies) | Nee | Cryptografisch niets; het zet vlaggen waarvan een viewer wordt gevraagd ze te respecteren | Uitsluitend adviserend |
Permissievlaggen zijn een verzoek aan nette software, geen afdwingmechanisme. De bytes worden ontsleuteld op het moment dat het document opent, dus elk programma dat de vlaggen wil negeren, kan dat. Beschouw ze als een intentieverklaring – bruikbaar om aan te geven hoe een document gebruikt hoort te worden, waardeloos als beveiligingsmaatregel.
Waarom een editor het bestand weigert
Om een PDF te herstructureren – samenvoegen, splitsen, pagina's draaien, ongebruikte objecten weggooien – moet een bibliotheek de objectgraaf inlezen. In een versleuteld document zijn de strings en streams waaruit die graaf bestaat cijfertekst totdat de juiste sleutel is afgeleid. Er valt niets in te lezen. Dit is geen beleidskeuze van de tool; er is werkelijk nog geen document.
De structurele PDF-tools van FileSlimmer zijn daarom uitgeschakeld voor een versleuteld document, en zeggen dat ook, in plaats van halverwege te stranden met een beschadigde uitvoer. Dat is het juiste gedrag, ook al is het het minst handige.
Wat er gebeurt met een wachtwoord dat je intypt
Waar een pad met wachtwoord wordt aangeboden, wordt het wachtwoord gebruikt om de ontsleutelingssleutel af te leiden in het geheugen, in dit browsertabblad, zolang de taak duurt. Het wordt niet opgeslagen in local storage, niet in de service-workercache, niet in een URL gezet en niet verstuurd – er is in deze applicatie geen server om het naartoe te sturen. Zodra het tabblad sluit, is het weg.
Het blijft verstandig om bewust te kiezen waar je een wachtwoord intypt. Een browserextensie kan de inhoud van een pagina lezen, en dat geldt voor elke website, ook voor deze. Is een document gevoelig genoeg dat dit uitmaakt, ontgrendel het dan in offline desktopsoftware die je vertrouwt.
Wat deze tool niet doet
- Hij probeert een wachtwoord dat je niet hebt niet te achterhalen of met brute force te kraken.
- Hij verwijdert geen eigenaarswachtwoord om permissievlaggen te omzeilen op een document waarop je geen rechten hebt.
- Hij maakt niet stilletjes een ontsleutelde kopie van een document dat je met een wachtwoord hebt geopend; beveiliging verwijderen is een aparte, expliciete handeling.
- Hij doet niet alsof een permissievlag een beveiligingsgrens is.
Beveiliging verwijderen van een document dat je niet mag wijzigen, kan ook in strijd zijn met een contract of met de wet waar je woont. Dat is een vraag voor jou en, als het ertoe doet, voor een jurist – niet voor een compressietool.
Realistische opties als je vastzit
- Vraag degene die het document maakte om een onbeveiligde kopie. Dit is veruit de meest voorkomende oplossing en het kost één bericht.
- Heb je het openwachtwoord, gebruik het dan: met een ontsleuteld document komt elke gewone bewerking weer beschikbaar.
- Hoef je de pagina's alleen te bekijken, print dan naar PDF of exporteer een gerasteriseerde kopie. Je verliest de tekstlaag, de links en de toegankelijkheidsstructuur, en je houdt het uiterlijk.
- Is het document behalve versleuteld ook ondertekend, stop dan en denk opnieuw na. Elke wijziging maakt de handtekening ongeldig, en een ondertekend document bestaat meestal juist omdat iemand het later moet kunnen verifiëren.
Nog één beperking
Oudere revisies van PDF-versleuteling gebruikten zwakke sleutelafleiding en korte sleutels, en gelden als gebroken. Nieuwere revisies gebruiken AES met een deugdelijke afleidingsfunctie. Je kunt aan een document niet zien welke het gebruikt, en dat een tool een oud bestand snel opent, is geen bewijs dat een nieuw bestand zich hetzelfde gedraagt. Kies je beveiliging voor een document dat je zelf maakt, neem dan actuele software en een lang wachtwoord in plaats van te vertrouwen op de geschiedenis van het formaat.
Tools hiervoor
Bronnen
- ISO 32000-2 — Document management, Portable Document Format
- Adobe — PDF 32000-1:2008, clause 7.6 on encryption and permissions
- NIST FIPS 197 — the Advanced Encryption Standard