PDFs protegidos por senha e seus limites
Meu PDF está protegido e a ferramenta diz que não consegue editar. Por quê, e quais são minhas opções?
Existem duas senhas diferentes
A criptografia de PDF, definida na ISO 32000, distingue a senha de usuário da senha de proprietário. A senha de usuário — muitas vezes chamada de senha de abertura — é necessária para descriptografar o documento. Sem ela, os fluxos de conteúdo são texto cifrado e nenhum software consegue ler uma única página. A senha de proprietário é outra coisa: o documento abre sem ela, mas o dicionário de criptografia carrega sinalizadores de permissão que dizem o que um leitor em conformidade deveria recusar, como imprimir, copiar texto ou modificar o arquivo.
Essa distinção explica boa parte da confusão. Um documento que abre na hora, mas não deixa você copiar um parágrafo, não está “desbloqueado” — ele está criptografado com uma senha de usuário vazia e um conjunto de restrições.
O que a criptografia realmente protege
| Senha | Necessária para abrir? | O que protege | Qual é a força dela |
|---|---|---|---|
| Senha de usuário (abertura) | Sim | O próprio conteúdo; fluxos e strings ficam criptografados | Tão forte quanto a cifra e a senha escolhida |
| Senha de proprietário (permissões) | Não | Nada em termos criptográficos; define sinalizadores que se pede ao leitor que respeite | Apenas indicativa |
Sinalizadores de permissão são um pedido a softwares bem-comportados, não um mecanismo de imposição. Os bytes são descriptografados no momento em que o documento abre, então qualquer programa que decida ignorar os sinalizadores consegue fazer isso. Encare-os como uma declaração de intenção — útil para indicar como o documento deve ser usado, inútil como controle de segurança.
Por que um editor recusa o arquivo
Para reestruturar um PDF — juntar, dividir, girar páginas, descartar objetos não usados —, uma biblioteca precisa interpretar o grafo de objetos. Em um documento criptografado, as strings e os fluxos que formam esse grafo são texto cifrado até que a chave correta seja derivada. Não há nada para interpretar. Isso não é uma decisão de política da ferramenta; ainda não existe documento ali de verdade.
Por isso as ferramentas estruturais de PDF do FileSlimmer ficam desativadas para um documento criptografado, e dizem isso, em vez de falharem no meio do caminho com uma saída corrompida. Esse é o comportamento correto, mesmo sendo o menos conveniente.
O que acontece com a senha que você digita
Onde existe um caminho que aceita senha, ela é usada para derivar a chave de descriptografia na memória, nesta aba do navegador, enquanto a tarefa durar. A senha não é gravada no armazenamento local, nem no cache do Service Worker, não vai para uma URL e não é transmitida — não existe servidor neste aplicativo para onde transmiti-la. Quando a aba fecha, ela some.
Ainda assim, vale ter cuidado com onde você digita qualquer senha. Uma extensão de navegador consegue ler o conteúdo de uma página, e isso vale para todo site, inclusive este. Se um documento for sensível a ponto de isso importar, desbloqueie-o em um programa de desktop offline em que você confie.
O que esta ferramenta não faz
- Ela não tenta recuperar nem quebrar por força bruta uma senha que você não tem.
- Ela não remove uma senha de proprietário para contornar sinalizadores de permissão em um documento sobre o qual você não tem direitos.
- Ela não gera silenciosamente uma cópia descriptografada de um documento que você abriu com senha; remover a proteção é uma ação separada e explícita.
- Ela não finge que um sinalizador de permissão é uma barreira de segurança.
Remover a proteção de um documento que você não tem o direito de modificar também pode violar um contrato ou uma lei onde você mora. Essa é uma questão para você e, se for o caso, para um advogado — não para uma ferramenta de compressão.
Opções realistas quando você travou
- Peça a quem produziu o documento uma cópia sem proteção. Essa é de longe a solução mais comum e leva uma mensagem.
- Se você tem a senha de abertura, use-a: com o documento descriptografado, todas as operações comuns voltam a ficar disponíveis.
- Se você só precisa das páginas para olhar, imprima em PDF ou exporte uma cópia rasterizada. Você perde a camada de texto, os links e a estrutura de acessibilidade, e fica com a aparência.
- Se o documento é assinado além de criptografado, pare e repense. Qualquer modificação invalida a assinatura, e um documento assinado normalmente existe justamente porque alguém precisa verificá-lo depois.
Mais uma limitação
Revisões antigas da criptografia de PDF usavam derivação de chave fraca e chaves curtas, e são consideradas quebradas. As revisões mais novas usam AES com uma função de derivação adequada. Não dá para saber qual delas um documento usa só olhando, e uma ferramenta que abre um arquivo antigo rapidamente não é prova de que um arquivo novo vai se comportar do mesmo jeito. Se você está escolhendo a proteção de um documento que está produzindo, escolha um software atual e uma senha longa, em vez de contar com o histórico do formato.
Ferramentas para isso
Fontes
- ISO 32000-2 — Document management, Portable Document Format
- Adobe — PDF 32000-1:2008, clause 7.6 on encryption and permissions
- NIST FIPS 197 — the Advanced Encryption Standard