Microsoft Information Protection applique des étiquettes de classification et un chiffrement aux documents en fonction des stratégies organisationnelles. Lorsqu'un PDF est protégé par MIP et que l'utilisateur perd l'accès, que ce soit en quittant l'organisation, en raison d'une licence expirée ou d'une migration de locataire, le fichier devient illisible. Les procédures Déverrouillage PDF pour les fichiers protégés par MIP diffèrent considérablement de la suppression de mot de passe standard, car la protection est liée à une identité Azure Active Directory plutôt qu'à un mot de passe statique.
La protection MIP est basée sur le serveur. La clé de déchiffrement n'est pas intégrée au fichier. La visionneuse PDF doit s'authentifier auprès du locataire Azure AD qui a appliqué la protection, recevoir une licence d'utilisation et utiliser cette licence pour déchiffrer le contenu. Lorsque le chemin d'authentification est coupé, le fichier est inerte. La restauration de l'accès nécessite soit de se reconnecter au locataire Azure AD, soit d'obtenir une copie non protégée du fichier.
Les outils de déverrouillage PDF Security du WukongPDF traitent de la protection par mot de passe standard. Pour les fichiers protégés par MIP, le chemin de déverrouillage passe par l'écosystème Microsoft comme décrit ci-dessous.
En quoi la protection MIP diffère des mots de passe PDF standard
Un mot de passe PDF standard est une clé symétrique. Toute personne connaissant le mot de passe peut déchiffrer le fichier et le mot de passe peut être supprimé par n'importe quel outil de déverrouillage PDF prenant en charge l'algorithme de cryptage. La protection MIP utilise le chiffrement asymétrique géré par Azure AD. Le fichier contient le contenu crypté. Azure AD détient les clés de déchiffrement. La visionneuse PDF doit contacter Azure AD, authentifier l'utilisateur et recevoir une licence de déchiffrement temporaire.
Cette architecture signifie que la protection MIP ne peut pas être supprimée par les outils de déverrouillage PDF standard. Il n'y a pas de mot de passe à déchiffrer. Il n'y a pas de clé statique à extraire. Le seul chemin de déchiffrement passe par le locataire Azure AD qui a appliqué la protection. Comprendre cette différence fondamentale évite de perdre du temps sur des outils qui ne peuvent pas aider.
L'architecture basée sur serveur offre également des avantages en matière de sécurité que la protection par mot de passe ne peut égaler. L'accès peut être révoqué de manière centralisée. L'utilisation peut être auditée. La protection peut être mise à jour sans redistribuer le fichier. Ces avantages s’accompagnent du risque de lock-out abordé dans cet article.
Essayez de déverrouiller le PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.
Méthode 1 : Suppression de la protection pendant que le locataire est actif
Si votre compte existe toujours dans le locataire Azure AD qui a protégé le document et que vous disposez des droits pour y accéder, la suppression de la protection est simple. Ouvrez le fichier dans le client Azure Information Protection, disponible en tant qu'application de bureau et dans le cadre des applications Microsoft 365. Le client s'authentifie auprès d'Azure AD, télécharge la licence d'utilisation et affiche le contenu protégé.
Depuis le client AIP, sélectionnez Supprimer la protection dans la barre d'outils ou dans le menu contextuel. Le client demande une nouvelle licence d'utilisation qui n'inclut pas le cryptage. Le fichier est enregistré dans un état non protégé. Cette opération nécessite que votre compte dispose du droit Supprimer la protection dans la politique de protection, ce que la plupart des utilisateurs font pour les documents auxquels ils sont autorisés à accéder. Si l’option Supprimer la protection est grisée, la stratégie empêche explicitement la suppression et vous devez contacter l’administrateur du client.
Pour la suppression par lots de plusieurs fichiers, le client AIP prend en charge les opérations au niveau des dossiers. Sélectionnez un dossier de fichiers protégés, choisissez Supprimer la protection et le client traite chaque fichier de manière séquentielle. L'opération par lots utilise la même authentification et la même vérification des droits que la suppression d'un seul fichier. La progression dans le lot dépend de la taille des fichiers et de la latence du réseau pour le locataire Azure AD.
Méthode 2 : Utilisation du portail de conformité Microsoft 365
Les administrateurs de locataires peuvent supprimer la protection des fichiers via le Centre de conformité Microsoft 365. Accédez à la section Classification des données, recherchez le fichier par nom ou contenu, puis sélectionnez Supprimer la protection. Cette opération utilise les privilèges d'administrateur pour contourner la vérification normale des droits d'utilisateur. Le fichier est décrypté et enregistré sans protection.
Cette méthode est disponible uniquement pour les utilisateurs disposant des rôles d'administrateur général ou d'administrateur de conformité dans le locataire. Si vous n'êtes pas un administrateur, vous devez demander qu'un administrateur effectue la suppression en votre nom. Fournissez le nom exact du fichier, l'emplacement du fichier dans SharePoint ou OneDrive le cas échéant, et la justification commerciale de la suppression de la protection.
Les administrateurs doivent vérifier le droit du demandeur à accéder au contenu non protégé avant de supprimer la protection. MIP existe pour empêcher tout accès non autorisé. Une dérogation administrative doit être documentée avec l'identité du demandeur, la justification et la date de renvoi. La documentation protège à la fois l'administrateur et l'organisation en cas d'audit.
Méthode 3 : Récupération des accès lorsque le locataire est indisponible
Lorsque le locataire Azure AD a été supprimé, les clés de déchiffrement stockées dans ce locataire sont définitivement perdues. La documentation Microsoft indique explicitement que la suppression du locataire supprime définitivement toutes les clés de chiffrement associées. Il n'y a pas de processus de récupération. Il s'agit du scénario le plus grave pour les fichiers protégés par MIP. Le seul chemin de récupération consiste à localiser une copie du fichier qui a été enregistrée sans protection avant la suppression du locataire.
Vérifiez les copies non protégées dans les pièces jointes des e-mails. Certains clients de messagerie suppriment la protection MIP des fichiers joints lors de l'envoi à des destinataires externes. Recherchez des copies dans les systèmes de sauvegarde antérieurs à l'application de protection MIP. Vérifiez auprès de collègues qui ont peut-être reçu le fichier avant l'application de la protection ou qui ont peut-être sauvegardé une copie non protégée pendant la période pendant laquelle ils y avaient accès.
S'il n'existe aucune copie non protégée, le contenu du fichier est effectivement perdu. Ce résultat constitue un argument solide en faveur de la conservation d'une copie d'archives non protégée des documents critiques dans un emplacement sécurisé et à accès contrôlé, distinct des copies de travail protégées par MIP. La protection MIP sécurise les copies de travail. La copie d'archive garantit la continuité des activités en cas de défaillance de l'infrastructure de protection.
Prévention du verrouillage MIP dans les flux de travail organisationnels
Les organisations utilisant MIP doivent établir une procédure de mise hors service qui inclut la suppression de la protection de tous les documents avant le retrait du locataire Azure AD. La procédure doit identifier tous les documents protégés, vérifier que les utilisateurs autorisés peuvent toujours y accéder après la suppression de la protection et terminer la suppression avant le début de la suppression du locataire.
Pour les utilisateurs individuels, la meilleure protection contre le verrouillage MIP consiste à enregistrer une copie non protégée de chaque document critique dans un emplacement de stockage personnel et sécurisé pendant que l'accès est toujours disponible. Cette copie doit être protégée par différents moyens, comme un mot de passe PDF fort, afin qu'elle ne soit pas complètement non protégée mais qu'elle ne dépende pas du locataire Azure AD pour l'accès.
La protection MIP offre une sécurité renforcée pendant le cycle de vie actif d'un document. Lorsque ce cycle de vie se termine et que l’infrastructure de protection est retirée, le document doit passer à une protection alternative ou à un stockage d’archives non protégé. La planification de cette transition au moment où la protection est appliquée évite les scénarios de verrouillage.
| Scénario MIP | Déverrouiller le chemin | Exigences |
|---|---|---|
| Locataire Azure AD actif | Supprimer la protection via le client ou le portail AIP | Compte utilisateur valide avec droits d'accès |
| Locataire supprimé | Pas de chemin de récupération officiel, clés perdues | Copie préexistante non protégée nécessaire |
| Accès hors ligne avec informations d'identification mises en cache | Ouvrir le fichier sur une machine préalablement autorisée | La machine doit avoir été autorisée avant le verrouillage |
Le déverrouillage d'un PDF protégé par Microsoft Information Protection nécessite de travailler au sein de l'écosystème Microsoft. Les outils de déverrouillage PDF standard ne peuvent pas aider car la protection est basée sur le serveur et non sur un mot de passe. Le chemin de déverrouillage passe par le locataire Azure AD lorsqu’il existe, et via des copies de sauvegarde lorsqu’il n’existe pas.
Le rôle des super utilisateurs dans la récupération MIP
Azure Information Protection prend en charge une fonctionnalité de super-utilisateur qui accorde aux comptes désignés la possibilité de déchiffrer tout contenu protégé par MIP dans le locataire. Les super utilisateurs peuvent ouvrir des documents protégés, supprimer la protection et re-protéger avec différents paramètres. Cette fonctionnalité est conçue pour les scénarios de récupération légitimes tels que les départs d'employés, les conservations légales et les migrations de locataires.
Activez l’accès super utilisateur via le portail AIP Azure ou PowerShell. Attribuez le rôle de super-utilisateur à un compte de récupération dédié plutôt qu'à des comptes d'utilisateurs individuels. Le compte dédié existe uniquement à des fins de récupération et est étroitement contrôlé. Après une opération de récupération, auditez l’activité du super-utilisateur pour rester responsable des documents qui ont été consultés et pourquoi.
Les organisations utilisant MIP doivent configurer l’accès super utilisateur avant d’en avoir besoin. Le configurer de manière réactive lors d’une crise de verrouillage risque de retarder si l’administrateur disposant des autorisations nécessaires n’est pas disponible. La configuration proactive du super utilisateur garantit qu'un chemin de récupération est toujours disponible tant que le locataire existe.
Migration de documents protégés par MIP lors de la consolidation des locataires
Lorsque les organisations fusionnent ou consolident des locataires Azure AD, les documents protégés par MIP doivent être migrés vers l’infrastructure de protection du nouveau locataire. Le processus de migration implique le déchiffrement des documents dans le locataire source, le transfert des fichiers non protégés vers le locataire de destination et, éventuellement, la réapplication de la protection selon les stratégies du locataire de destination.
Planifiez la migration pendant une période où les deux locataires sont opérationnels. La fenêtre de migration peut être étroite, en particulier si le locataire source est mis hors service selon un calendrier fixe. Hiérarchisez les documents par criticité métier. Les documents qui sont activement référencés dans les questions juridiques, financières ou réglementaires en cours doivent être migrés en premier. Les documents archivés avec une fréquence d'accès plus faible peuvent être migrés ultérieurement ou laissés sans protection dans les archives.
Après la migration, testez que les documents protégés s'ouvrent correctement à l'aide des informations d'identification du locataire de destination. Le test confirme que la migration a réussi avant la mise hors service du locataire source. Un test échoué après la suppression du locataire signifie une perte permanente de données qui ne peut être récupérée via aucun canal de support Microsoft. La phase de test n'est donc pas facultative mais essentielle.
MIP est l'un des nombreux systèmes de protection des informations d'entreprise qui lient le décryptage des PDF à un service d'annuaire externe. Les principes décrits ici pour MIP s'appliquent largement à toute protection PDF basée sur serveur : comprendre le chemin d'authentification, l'utiliser tant qu'il existe, planifier son retrait éventuel et conserver des sauvegardes indépendantes du contenu critique dans un format qui ne dépend pas de l'infrastructure d'un seul fournisseur pour l'accès.
La défense la plus fiable contre tout scénario de verrouillage DRM est simple : avant d’appliquer la protection, enregistrez une copie non protégée dans un emplacement sécurisé et dont l’accès est contrôlé. La copie protégée gère la sécurité de la distribution. La copie non protégée gère la continuité des activités. Les deux sont nécessaires pour une stratégie complète de protection des documents.
Essayez de déverrouiller le PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.