Un PDF protegido por un certificado digital en lugar de una contraseña utiliza criptografía de clave pública para controlar el acceso al documento. El contenido del documento se cifra utilizando la clave pública del titular del certificado, y solo la entidad que posee la clave privada correspondiente puede descifrar y abrir el archivo. Una herramienta estándar de eliminación de contraseña o Unlock PDF que funciona extrayendo y luego eliminando el diccionario de cifrado del archivo fallará contra la seguridad basada en certificados porque el cifrado está vinculado matemáticamente a un par de claves RSA o ECC asimétricas en lugar de a una cadena de claves simétrica derivada de una contraseña. Para desbloquear un PDF protegido por certificado se requiere acceso a la clave privada, al archivo de certificado PKCS#12 que agrupa la clave privada con su certificado o a una herramienta que pueda comunicarse con el almacén de certificados del sistema operativo para autenticar al usuario con la clave privada almacenada.
El cifrado de PDF basado en certificados es común en entornos empresariales, agencias gubernamentales y organizaciones que utilizan infraestructura de clave pública (PKI) para administrar el acceso a documentos por función en lugar de por contraseña compartida. Un departamento de recursos humanos podría cifrar cartas de oferta y declaraciones de compensación con el certificado individual de cada empleado, asegurando que solo el destinatario previsto pueda abrir su documento específico. Un bufete de abogados puede cifrar los documentos de los clientes con el certificado del abogado principal asignado al asunto. Cuando el destinatario necesita desbloquear el documento, no puede simplemente escribir una contraseña. Deben presentar la clave privada que coincida con el certificado utilizado durante el cifrado.
En qué se diferencia el cifrado de PDF basado en certificados del cifrado basado en contraseña
El estándar ISO 32000 define dos controladores de seguridad fundamentalmente diferentes para el cifrado de PDF (Adobe, "PDF Reference 1.7", 2006). El controlador de seguridad estándar implementa cifrado basado en contraseñas, derivando una clave de cifrado simétrica a partir de una cadena de contraseña proporcionada por el usuario a través de una función de derivación de claves que implica hash y salting. El controlador de seguridad de clave pública implementa cifrado basado en certificados, generando la clave de cifrado a través de un esquema criptográfico de clave pública asimétrica, generalmente RSA con longitudes de clave que varían de 1024 a 4096 bits. El diccionario de cifrado del PDF almacena el número de serie del certificado y el nombre distinguido del emisor de cada destinatario autorizado.
La diferencia práctica para el desbloqueo es significativa. Cualquier persona que la conozca puede escribir una contraseña, en cualquier dispositivo, con cualquier software PDF que admita el controlador de seguridad estándar. Una clave privada, por el contrario, existe sólo en el dispositivo, token de seguridad o tarjeta inteligente específicos donde se instaló o importó originalmente. La herramienta Unlock PDF debe ubicar una clave privada utilizable en el almacén de certificados del sistema actual, aceptar un archivo PKCS#12 (generalmente con extensiones .pfx o .p12) que contiene la clave privada junto con su cadena de certificados asociada, o comunicarse con un token de hardware a través de la interfaz criptográfica PKCS#11.
Pruebe desbloquear PDF
No se necesita instalación. Funciona directamente en su navegador.
Localizar la clave privada necesaria para descifrar el PDF
El certificado que se utilizó para cifrar el PDF se identifica dentro del diccionario de cifrado del documento por su número de serie y el nombre distinguido de la autoridad certificadora emisora. Para descifrar el archivo, debe poseer la clave privada que corresponde a ese certificado específico. Si usted mismo cifró originalmente el documento, es probable que la clave privada esté almacenada en el almacén de certificados de su sistema operativo. En Windows, abra el Administrador de certificados ejecutando certmgr.msc, navegue hasta Personal, luego Certificados y busque el certificado cuyo número de serie y nombre del emisor coincidan con los valores informados en el diccionario de cifrado de PDF. Una entrada de certificado que incluye una clave privada asociada muestra un pequeño icono de llave o una entrada expandible que revela el objeto clave debajo del certificado.
En macOS, abra Acceso a Llaveros desde la carpeta Utilidades y busque el certificado por el nombre de la organización, el nombre común o la dirección de correo electrónico asociada a él. Una entrada de certificado que incluye una clave privada muestra un triángulo desplegable en el lado izquierdo que revela la entrada de la clave cuando se hace clic. Si el certificado aparece en el llavero pero no hay entrada de clave privada, la clave no se importó junto con el certificado y no podrá descifrar el PDF con ese sistema Mac. Necesitará el archivo de copia de seguridad PKCS#12 original, una copia de seguridad de la clave privada exportada desde el sistema donde se generó la clave o acceso físico a la computadora o token donde reside actualmente la clave.
Utilice Adobe Acrobat Pro o una aplicación PDF compatible para eliminar el certificado de seguridad
Adobe Acrobat Pro puede eliminar la seguridad basada en certificados de un PDF cuando se puede acceder a la clave privada requerida en el almacén de certificados del sistema o en un token de hardware conectado. Abra el PDF protegido con contraseña en Acrobat Pro. La aplicación mostrará un cuadro de diálogo de selección de certificados que enumera todos los certificados digitales disponibles que tienen claves privadas en el sistema actual. Seleccione el certificado identificado en el diccionario de cifrado del documento, ingrese cualquier PIN de token asociado o contraseña de llavero si la clave privada está almacenada en una tarjeta inteligente o en un módulo de seguridad de hardware, y el documento se abre normalmente. Una vez que el documento esté abierto, navegue hasta Archivo, Propiedades, Seguridad, cambie el menú desplegable Método de seguridad de "Certificado de seguridad" a "Certificado de seguridad". a "Sin seguridad", y guarde el documento con un nuevo nombre de archivo. El cifrado basado en certificado se elimina permanentemente de la copia guardada.
La siguiente tabla compara los enfoques de desbloqueo de certificados disponibles y sus requisitos:
| Método | Qué necesitas | Funciona cuando |
|---|---|---|
| Adobe Acrobat Pro | Clave privada presente en el almacén de certificados del sistema | Estás en la misma computadora donde se instalaron originalmente el certificado y la clave. |
| Importación de archivos PKCS#12 | Un archivo de copia de seguridad PFX o P12 más su contraseña de exportación | Dispones de una copia de seguridad del certificado y clave privada exportados desde otro sistema |
| Tarjeta inteligente o token de seguridad USB | Middleware de controlador PKCS#11, token físico y PIN | La clave privada se almacena en el hardware; la ficha está en tu poder |
| Solicitar nuevo cifrado de documentos | Contactar con el remitente del documento original | No tienes la clave privada y no eres el destinatario previsto |
Utilice una herramienta de desbloqueo basada en navegador que admita archivos PDF protegidos por certificado
Las herramientas PDF basadas en navegador han agregado recientemente soporte para archivos protegidos con certificados junto con los tradicionales protegidos con contraseña. La herramienta Unlock PDF de WukongPDF puede detectar el tipo de controlador de seguridad durante la fase de carga del archivo. Si el documento utiliza el controlador de seguridad de clave pública, la herramienta le solicita que cargue un archivo de certificado PKCS#12 o seleccione un certificado del almacén de certificados del sistema operativo si la plataforma del navegador admite la extensión de acceso al certificado Web Crypto API. Una vez verificada la clave privada, la herramienta descifra el contenido del documento en la memoria local del navegador y produce una copia desbloqueada con todas las restricciones de cifrado y acceso eliminadas permanentemente.
El enfoque basado en navegador maneja documentos protegidos por certificados de hasta varios cientos de megabytes de tamaño, lo que cubre adecuadamente casi todos los documentos comerciales. El certificado debe utilizar cifrado RSA, que es el algoritmo empleado por la gran mayoría de archivos PDF protegidos por certificados en entornos profesionales y empresariales. El cifrado de certificados basado en ECC es menos común en los archivos PDF, pero es compatible con algunas implementaciones más nuevas del controlador de seguridad de clave pública.
Qué hacer cuando no tienes acceso a la clave privada
El cifrado de PDF basado en certificados está diseñado para vincular el acceso a los documentos a una persona, función o dispositivo específico identificado por el certificado. Si usted no es la persona mencionada en el certificado o no posee la clave privada, no hay ninguna derivación técnica disponible. La criptografía de clave pública con claves RSA del tamaño adecuado no puede ser derrotada por la fuerza bruta en ningún plazo práctico utilizando la tecnología informática actual. El único camino a seguir es ponerse en contacto con la persona u organización que cifró el documento y solicitar una versión del archivo cifrado con un certificado para el cual tiene la clave privada correspondiente, o una copia protegida con contraseña donde el remitente proporciona la contraseña a través de un canal de comunicación separado, como una llamada telefónica o una aplicación de mensajería cifrada.
El PDF Encryption utilizado en documentos protegidos por certificados proporciona un mayor nivel de control de acceso que la seguridad basada en contraseña porque la capacidad de descifrado está vinculada a una clave física o específica del dispositivo en lugar de a una cadena de texto compartida. Cuando la clave privada está disponible, herramientas como WukongPDF pueden eliminar la seguridad del certificado y producir un PDF estándar sin protección en segundos.
Cuando trabaje con archivos PDF protegidos por certificados en un contexto entre organizaciones, verifique la compatibilidad del certificado antes de aplicar el cifrado. Es posible que un destinatario externo cuyo sistema no confíe en la autoridad certificadora emisora no pueda abrir un PDF cifrado con un certificado emitido por una PKI corporativa interna. Para los documentos que deben cruzar los límites de la organización, utilice un certificado de confianza pública de una autoridad de certificación reconocida o cambie al cifrado basado en contraseña y la contraseña se transmita a través de un canal seguro independiente.
El cifrado de PDF basado en certificados utiliza criptografía de clave pública comprobada para vincular un documento exclusivamente a una clave privada específica en lugar de a una contraseña compartida o transmitida. Para desbloquear dicho documento es necesario presentar esa clave privada a la rutina de descifrado, ya sea que la clave esté almacenada en el almacén de certificados del sistema operativo local, importada desde un archivo de respaldo PKCS#12 o accedida desde un token de seguridad de hardware. Las aplicaciones PDF profesionales y las modernas herramientas de desbloqueo basadas en navegador pueden eliminar la seguridad del certificado cuando la clave correspondiente está disponible. Sin la clave privada, el cifrado permanece intacto y la única ruta viable es solicitar una copia recodificada al autor del documento.
Pruebe desbloquear PDF
No se necesita instalación. Funciona directamente en su navegador.