Eine PDF-Datei, die durch ein digitales Zertifikat anstelle eines Passworts geschützt ist, verwendet Public-Key-Kryptografie, um den Dokumentenzugriff zu kontrollieren. Der Inhalt des Dokuments wird mit dem öffentlichen Schlüssel des Zertifikatsinhabers verschlüsselt, und nur die Entität, die über den entsprechenden privaten Schlüssel verfügt, kann die Datei entschlüsseln und öffnen. Ein Standard-Passwort-Entfernungs- oder Unlock PDF-Tool, das durch Extrahieren und anschließendes Entfernen des Verschlüsselungswörterbuchs aus der Datei funktioniert, schlägt bei der zertifikatbasierten Sicherheit fehl, da die Verschlüsselung mathematisch an ein asymmetrisches RSA- oder ECC-Schlüsselpaar gebunden ist und nicht an eine symmetrische, vom Passwort abgeleitete Schlüsselzeichenfolge. Zum Entsperren einer zertifikatgeschützten PDF-Datei ist Zugriff auf den privaten Schlüssel, die PKCS#12-Zertifikatdatei, die den privaten Schlüssel mit seinem Zertifikat bündelt, oder ein Tool erforderlich, das mit dem Zertifikatspeicher des Betriebssystems kommunizieren kann, um den Benutzer anhand des gespeicherten privaten Schlüssels zu authentifizieren.
Die zertifikatbasierte PDF-Verschlüsselung ist in Unternehmensumgebungen, Regierungsbehörden und Organisationen üblich, die eine Public-Key-Infrastruktur (PKI) verwenden, um den Dokumentenzugriff nach Rolle und nicht nach einem gemeinsamen Passwort zu verwalten. Eine Personalabteilung könnte Angebotsschreiben und Vergütungsabrechnungen mit dem individuellen Zertifikat jedes Mitarbeiters verschlüsseln und so sicherstellen, dass nur der vorgesehene Empfänger sein spezifisches Dokument öffnen kann. Eine Anwaltskanzlei könnte Mandantendokumente mit der Bescheinigung des mit der Angelegenheit beauftragten Hauptanwalts verschlüsseln. Wenn der Empfänger das Dokument entsperren muss, kann er nicht einfach ein Passwort eingeben. Sie müssen den privaten Schlüssel vorlegen, der mit dem bei der Verschlüsselung verwendeten Zertifikat übereinstimmt.
Wie sich die zertifikatbasierte PDF-Verschlüsselung von der passwortbasierten Verschlüsselung unterscheidet
Der ISO 32000-Standard definiert zwei grundlegend unterschiedliche Sicherheitshandler für die PDF-Verschlüsselung (Adobe, „PDF Reference 1.7“, 2006). Der Standard Security Handler implementiert eine passwortbasierte Verschlüsselung und leitet einen symmetrischen Verschlüsselungsschlüssel aus einer vom Benutzer bereitgestellten Passwortzeichenfolge durch eine Schlüsselableitungsfunktion mit Hashing und Salting ab. Der Public-Key-Sicherheitshandler implementiert eine zertifikatbasierte Verschlüsselung und generiert den Verschlüsselungsschlüssel über ein asymmetrisches kryptografisches Schema mit öffentlichem Schlüssel, typischerweise RSA mit Schlüssellängen zwischen 1024 und 4096 Bit. Das Verschlüsselungswörterbuch der PDF-Datei speichert die Seriennummer des Zertifikats und den Distinguished Name des Ausstellers für jeden autorisierten Empfänger.
Der praktische Unterschied beim Entsperren ist erheblich. Ein Passwort kann von jeder Person, die es kennt, auf jedem Gerät und mit jeder PDF-Software eingegeben werden, die den Standard-Sicherheitshandler unterstützt. Im Gegensatz dazu existiert ein privater Schlüssel nur auf dem spezifischen Gerät, Sicherheitstoken oder der Smartcard, auf dem er ursprünglich installiert oder importiert wurde. Das Unlock PDF-Tool muss entweder einen verwendbaren privaten Schlüssel im Zertifikatspeicher des aktuellen Systems finden, eine PKCS#12-Datei (normalerweise mit den Erweiterungen .pfx oder .p12) akzeptieren, die den privaten Schlüssel zusammen mit der zugehörigen Zertifikatskette enthält, oder über die kryptografische PKCS#11-Schnittstelle mit einem Hardware-Token kommunizieren.
Versuchen Sie es mit „PDF entsperren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Finden Sie den privaten Schlüssel, der zum Entschlüsseln der PDF-Datei erforderlich ist
Das zum Verschlüsseln der PDF-Datei verwendete Zertifikat wird im Verschlüsselungswörterbuch des Dokuments anhand seiner Seriennummer und dem Distinguished Name der ausstellenden Zertifizierungsstelle identifiziert. Um die Datei zu entschlüsseln, müssen Sie über den privaten Schlüssel verfügen, der diesem spezifischen Zertifikat entspricht. Wenn Sie das Dokument ursprünglich selbst verschlüsselt haben, wird der private Schlüssel wahrscheinlich im Zertifikatspeicher Ihres Betriebssystems gespeichert. Öffnen Sie unter Windows den Zertifikatsmanager, indem Sie certmgr.msc ausführen, navigieren Sie zu „Persönlich“ und dann zu „Zertifikate“ und suchen Sie das Zertifikat, dessen Seriennummer und Ausstellername mit den im PDF-Verschlüsselungswörterbuch gemeldeten Werten übereinstimmen. Ein Zertifikateintrag, der einen zugehörigen privaten Schlüssel enthält, zeigt ein kleines Schlüsselsymbol oder einen erweiterbaren Eintrag an, der das Schlüsselobjekt unter dem Zertifikat anzeigt.
Öffnen Sie unter macOS den Schlüsselbundzugriff im Ordner „Dienstprogramme“ und suchen Sie nach dem Zertifikat anhand des Organisationsnamens, des allgemeinen Namens oder der damit verbundenen E-Mail-Adresse. Bei einem Zertifikateintrag, der einen privaten Schlüssel enthält, wird auf der linken Seite ein Dreieck angezeigt, das den Schlüsseleintrag anzeigt, wenn darauf geklickt wird. Wenn das Zertifikat im Schlüsselbund erscheint, aber der private Schlüsseleintrag fehlt, wurde der Schlüssel nicht zusammen mit dem Zertifikat importiert und Sie können die PDF-Datei mit diesem Mac-System nicht entschlüsseln. Sie benötigen die ursprüngliche PKCS#12-Sicherungsdatei, eine Sicherung des privaten Schlüssels, der von dem System exportiert wurde, auf dem der Schlüssel generiert wurde, oder physischen Zugriff auf den Computer oder das Token, auf dem sich der Schlüssel derzeit befindet.
Verwenden Sie Adobe Acrobat Pro oder eine kompatible PDF-Anwendung, um die Zertifikatsicherheit zu entfernen
Adobe Acrobat Pro kann die zertifikatbasierte Sicherheit aus einer PDF-Datei entfernen, wenn der erforderliche private Schlüssel im Systemzertifikatspeicher oder auf einem angeschlossenen Hardware-Token verfügbar ist. Öffnen Sie das passwortgeschützte PDF in Acrobat Pro. Die Anwendung zeigt einen Dialog zur Zertifikatsauswahl an, der alle verfügbaren digitalen Zertifikate auflistet, die über private Schlüssel auf dem aktuellen System verfügen. Wählen Sie das im Verschlüsselungswörterbuch des Dokuments identifizierte Zertifikat aus, geben Sie die zugehörige Token-PIN oder das Schlüsselbundkennwort ein, wenn der private Schlüssel auf einer Smartcard oder einem Hardware-Sicherheitsmodul gespeichert ist, und das Dokument wird normal geöffnet. Sobald das Dokument geöffnet ist, navigieren Sie zu „Datei“, „Eigenschaften“, „Sicherheit“ und ändern Sie das Dropdown-Menü „Sicherheitsmethode“ unter „Zertifikatsicherheit“. zu „Keine Sicherheit“, und speichern Sie das Dokument unter einem neuen Dateinamen. Die zertifikatbasierte Verschlüsselung wird dauerhaft aus der gespeicherten Kopie entfernt.
Die folgende Tabelle vergleicht die verfügbaren Ansätze zum Entsperren von Zertifikaten und ihre Anforderungen:
| Methode | Was Sie brauchen | Funktioniert, wenn |
|---|---|---|
| Adobe Acrobat Pro | Privater Schlüssel im Systemzertifikatspeicher vorhanden | Sie befinden sich auf demselben Computer, auf dem das Zertifikat und der Schlüssel ursprünglich installiert wurden |
| PKCS#12-Dateiimport | Eine PFX- oder P12-Sicherungsdatei plus ihr Exportkennwort | Sie verfügen über eine Sicherungskopie des Zertifikats und des privaten Schlüssels, die von einem anderen System exportiert wurden |
| Smartcard oder USB-Sicherheitstoken | Physischer Token, PIN und PKCS#11-Treiber-Middleware | Der private Schlüssel wird auf der Hardware gespeichert; Der Token befindet sich in Ihrem Besitz |
| Fordern Sie eine Neuverschlüsselung des Dokuments an | Kontakt zum ursprünglichen Absender des Dokuments | Sie verfügen nicht über den privaten Schlüssel und sind nicht der beabsichtigte Empfänger |
Verwenden Sie ein browserbasiertes Entsperrtool, das zertifikatgeschützte PDFs unterstützt
Browserbasierte PDF-Tools unterstützen seit kurzem neben herkömmlichen passwortgeschützten Dateien auch zertifikatgeschützte Dateien. Das Unlock PDF-Tool von WukongPDF kann den Typ des Sicherheitshandlers während der Dateiladephase erkennen. Wenn das Dokument den Public-Key-Sicherheitshandler verwendet, werden Sie vom Tool aufgefordert, entweder eine PKCS#12-Zertifikatdatei hochzuladen oder ein Zertifikat aus dem Zertifikatspeicher des Betriebssystems auszuwählen, wenn die Browserplattform die Web Crypto API-Zertifikatzugriffserweiterung unterstützt. Nachdem der private Schlüssel überprüft wurde, entschlüsselt das Tool den Dokumentinhalt im lokalen Speicher des Browsers und erstellt eine entsperrte Kopie, in der alle Verschlüsselungs- und Zugriffsbeschränkungen dauerhaft entfernt sind.
Der browserbasierte Ansatz verarbeitet zertifikatsgeschützte Dokumente mit einer Größe von bis zu mehreren hundert Megabyte und deckt damit nahezu alle Geschäftsdokumente ausreichend ab. Das Zertifikat muss RSA-Verschlüsselung verwenden, den Algorithmus, der von der überwiegenden Mehrheit der zertifikatgeschützten PDFs in professionellen und Unternehmensumgebungen verwendet wird. ECC-basierte Zertifikatverschlüsselung ist in PDFs weniger verbreitet, wird aber von einigen neueren Implementierungen des Public-Key Security Handler unterstützt.
Was tun, wenn Sie keinen Zugriff auf den privaten Schlüssel haben
Die zertifikatbasierte PDF-Verschlüsselung soll den Dokumentenzugriff an eine bestimmte Person, Rolle oder ein bestimmtes Gerät binden, das durch das Zertifikat identifiziert wird. Wenn Sie nicht die im Zertifikat genannte Person sind oder nicht im Besitz des privaten Schlüssels sind, steht Ihnen keine technische Umgehung zur Verfügung. Die Public-Key-Kryptografie mit RSA-Schlüsseln der richtigen Größe kann mit der aktuellen Computertechnologie nicht innerhalb eines praktischen Zeitrahmens durch rohe Gewalt besiegt werden. Der einzige Weg nach vorne besteht darin, sich an die Person oder Organisation zu wenden, die das Dokument verschlüsselt hat, und entweder eine mit einem Zertifikat verschlüsselte Version der Datei anzufordern, für die Sie über den entsprechenden privaten Schlüssel verfügen, oder eine passwortgeschützte Kopie, bei der der Absender das Passwort über einen separaten Kommunikationskanal wie einen Telefonanruf oder eine verschlüsselte Messaging-Anwendung bereitstellt.
Die in zertifikatgeschützten Dokumenten verwendete PDF-Verschlüsselung bietet ein höheres Maß an Zugriffskontrolle als passwortbasierte Sicherheit, da die Entschlüsselungsfunktion an einen physischen oder gerätespezifischen Schlüssel und nicht an eine gemeinsame Textzeichenfolge gebunden ist. Wenn der private Schlüssel verfügbar ist, können Tools wie WukongPDF die Zertifikatsicherheit aufheben und in Sekundenschnelle ein standardmäßiges, ungeschütztes PDF erstellen.
Wenn Sie in einem organisationsübergreifenden Kontext mit zertifikatgeschützten PDFs arbeiten, überprüfen Sie die Zertifikatkompatibilität, bevor die Verschlüsselung angewendet wird. Ein mit einem von einer unternehmensinternen PKI ausgestelltes Zertifikat verschlüsseltes PDF kann möglicherweise von einem externen Empfänger, dessen System der ausstellenden Zertifizierungsstelle nicht vertraut, nicht geöffnet werden. Für Dokumente, die Unternehmensgrenzen überschreiten müssen, verwenden Sie entweder ein öffentlich vertrauenswürdiges Zertifikat einer anerkannten Zertifizierungsstelle oder wechseln Sie zur passwortbasierten Verschlüsselung, wobei das Passwort über einen separaten sicheren Kanal übertragen wird.
Die zertifikatbasierte PDF-Verschlüsselung verwendet bewährte Public-Key-Kryptografie, um ein Dokument ausschließlich an einen bestimmten privaten Schlüssel zu binden und nicht an ein gemeinsames oder übertragenes Passwort. Um ein solches Dokument zu entsperren, muss dieser private Schlüssel der Entschlüsselungsroutine vorgelegt werden, unabhängig davon, ob der Schlüssel im lokalen Zertifikatspeicher des Betriebssystems gespeichert, aus einer PKCS#12-Sicherungsdatei importiert oder über einen Hardware-Sicherheitstoken abgerufen wird. Professionelle PDF-Anwendungen und moderne browserbasierte Entsperrtools können die Zertifikatsicherheit aufheben, wenn der passende Schlüssel verfügbar ist. Ohne den privaten Schlüssel bleibt die Verschlüsselung intakt und der einzig mögliche Weg besteht darin, vom Urheber des Dokuments eine erneut verschlüsselte Kopie anzufordern.
Versuchen Sie es mit „PDF entsperren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.