Microsoft Information Protection applica etichette di classificazione e crittografia ai documenti in base ai criteri organizzativi. Quando un PDF è protetto da MIP e l'utente perde l'accesso, a causa dell'abbandono dell'organizzazione, di una licenza scaduta o della migrazione del tenant, il file diventa illeggibile. Le procedure Sblocca PDF per i file protetti da MIP differiscono in modo significativo dalla rimozione della password standard perché la protezione è legata a un'identità di Azure Active Directory anziché a una password statica.
La protezione MIP è basata su server. La chiave di decrittazione non è incorporata nel file. Il visualizzatore PDF deve autenticarsi con il tenant di Azure AD che ha applicato la protezione, ricevere una licenza d'uso e usare tale licenza per decrittografare il contenuto. Quando il percorso di autenticazione viene interrotto, il file è inerte. Il ripristino dell'accesso richiede la riconnessione al tenant di Azure AD o l'ottenimento di una copia non protetta del file.
Gli strumenti di sblocco Sicurezza PDF di WukongPDF risolvono la protezione tramite password standard. Per i file protetti da MIP, il percorso di sblocco passa attraverso l'ecosistema Microsoft come descritto di seguito.
Differenze tra la protezione MIP e le password PDF standard
Una password PDF standard è una chiave simmetrica. Chiunque conosca la password può decrittografare il file e la password può essere rimossa da qualsiasi strumento di sblocco PDF che supporti l'algoritmo di crittografia. La protezione MIP usa la crittografia asimmetrica gestita da Azure AD. Il file contiene il contenuto crittografato. Azure AD contiene le chiavi di decrittografia. Il visualizzatore PDF deve contattare Azure AD, autenticare l'utente e ricevere una licenza di decrittografia temporanea.
Questa architettura significa che la protezione MIP non può essere rimossa dagli strumenti di sblocco PDF standard. Non esiste una password da decifrare. Non esiste una chiave statica da estrarre. L'unico percorso di decrittografia passa attraverso il tenant di Azure AD che ha applicato la protezione. Comprendere questa differenza fondamentale evita di perdere tempo con strumenti che non possono essere d'aiuto.
L'architettura basata su server offre inoltre vantaggi in termini di sicurezza che la protezione tramite password non può eguagliare. L'accesso può essere revocato a livello centrale. L'utilizzo può essere controllato. La protezione può essere aggiornata senza ridistribuire il file. Questi vantaggi comportano il rischio di blocco affrontato in questo articolo.
Prova a sbloccare PDF
Nessuna installazione necessaria. Funziona direttamente nel tuo browser.
Metodo 1: rimozione della protezione mentre l'inquilino è attivo
Se il tuo account esiste ancora nel tenant di Azure AD che proteggeva il documento e disponi dei diritti per accedervi, rimuovere la protezione è semplice. Aprire il file nel client Azure Information Protection, disponibile come applicazione desktop e come parte delle app Microsoft 365. Il client esegue l'autenticazione con Azure AD, scarica la licenza d'uso e visualizza il contenuto protetto.
Dal client AIP, selezionare Rimuovi protezione dalla barra degli strumenti o dal menu contestuale. Il client richiede una nuova licenza d'uso che non include la crittografia. Il file viene salvato in uno stato non protetto. Questa operazione richiede che l'account disponga del diritto Rimuovi protezione nella policy di protezione, cosa che la maggior parte degli utenti fa per i documenti a cui è autorizzata ad accedere. Se l'opzione Rimuovi protezione è disattivata, la policy impedisce esplicitamente la rimozione ed è necessario contattare l'amministratore del tenant.
Per la rimozione batch su più file, il client AIP supporta operazioni a livello di cartella. Seleziona una cartella di file protetti, scegli Rimuovi protezione e il client elaborerà ciascun file in sequenza. L'operazione batch utilizza la stessa autenticazione e verifica dei diritti della rimozione di un singolo file. L'avanzamento nel batch dipende dalle dimensioni dei file e dalla latenza di rete nel tenant di Azure AD.
Metodo 2: utilizzo del portale di conformità di Microsoft 365
Gli amministratori tenant possono rimuovere la protezione dai file tramite il Centro conformità Microsoft 365. Passare alla sezione Classificazione dati, trovare il file per nome o contenuto e selezionare Rimuovi protezione. Questa operazione utilizza i privilegi di amministratore per aggirare il normale controllo dei diritti utente. Il file viene decrittografato e salvato senza protezione.
Questo metodo è disponibile solo per gli utenti con ruoli di amministratore globale o amministratore di conformità nel tenant. Se non sei un amministratore, devi richiedere che un amministratore esegua la rimozione per tuo conto. Fornire il nome file esatto, la posizione del file in SharePoint o OneDrive, se applicabile, e la giustificazione aziendale per la rimozione della protezione.
Gli amministratori devono verificare il diritto del richiedente di accedere al contenuto non protetto prima di rimuovere la protezione. Il MIP esiste per impedire l'accesso non autorizzato. Un'override amministrativa dovrebbe essere documentata con l'identità del richiedente, la giustificazione e la data della rimozione. La documentazione tutela sia l'amministratore che l'organizzazione in caso di audit.
Metodo 3: ripristino dell'accesso quando l'inquilino non è disponibile
Quando il tenant di Azure AD viene eliminato, le chiavi di decrittografia archiviate in quel tenant vengono perse definitivamente. La documentazione Microsoft afferma esplicitamente che l'eliminazione del tenant rimuove in modo permanente tutte le chiavi di crittografia associate. Non esiste un processo di recupero. Questo è lo scenario più grave per i file protetti MIP. L'unico percorso di ripristino consiste nell'individuare una copia del file salvato senza protezione prima dell'eliminazione del tenant.
Verifica la presenza di copie non protette negli allegati e-mail. Alcuni client di posta elettronica rimuovono la protezione MIP dai file allegati durante l'invio a destinatari esterni. Verificare la presenza di copie nei sistemi di backup precedenti all'applicazione di protezione MIP. Verificare con i colleghi che potrebbero aver ricevuto il file prima che fosse applicata la protezione o che potrebbero aver salvato una copia non protetta durante il periodo in cui avevano accesso.
Se non esiste alcuna copia non protetta, il contenuto del file viene effettivamente perso. Questo risultato costituisce un forte argomento a favore del mantenimento di una copia di archivio non protetta dei documenti critici in un luogo sicuro e ad accesso controllato, separato dalle copie di lavoro protette dal MIP. La protezione MIP protegge le copie di lavoro. La copia di archivio garantisce la continuità aziendale in caso di guasto dell'infrastruttura di protezione.
Prevenzione del blocco MIP nei flussi di lavoro organizzativi
Le organizzazioni che utilizzano MIP devono stabilire una procedura di rimozione che includa il rilascio della protezione da tutti i documenti prima che il tenant di Azure AD venga ritirato. La procedura dovrebbe identificare tutti i documenti protetti, verificare che gli utenti autorizzati possano ancora accedervi dopo la rimozione della protezione e completare la rimozione prima che inizi l'eliminazione del tenant.
Per i singoli utenti, la migliore protezione contro il blocco MIP consiste nel salvare una copia non protetta di ciascun documento critico in una posizione di archiviazione personale e sicura mentre l'accesso è ancora disponibile. Questa copia deve essere protetta con mezzi diversi, ad esempio una password PDF complessa, in modo che non venga lasciata completamente non protetta ma non dipenda dal tenant di Azure AD per l'accesso.
La protezione MIP fornisce una sicurezza elevata durante il ciclo di vita attivo di un documento. Quando il ciclo di vita termina e l'infrastruttura di protezione viene ritirata, il documento dovrebbe passare a una protezione alternativa o a un archivio non protetto. La pianificazione di questa transizione nel momento in cui viene applicata la protezione previene scenari di blocco.
| Scenario MIP | Sblocca percorso | Requisiti |
|---|---|---|
| Tenant di Azure AD attivo | Rimuovere la protezione tramite client o portale AIP | Account utente valido con diritti di accesso |
| Inquilino eliminato | Nessun percorso di ripristino ufficiale, chiavi perse | È necessaria una copia preesistente non protetta |
| Accesso offline con credenziali memorizzate nella cache | Apri il file sulla macchina precedentemente autorizzata | La macchina deve essere stata autorizzata prima del blocco |
Per sbloccare un PDF protetto da Microsoft Information Protection è necessario lavorare all'interno dell'ecosistema Microsoft. Gli strumenti di sblocco PDF standard non possono essere d'aiuto perché la protezione è basata su server, non su password. Il percorso di sblocco passa attraverso il tenant di Azure AD mentre esiste e attraverso le copie di backup quando non lo è.
Il ruolo dei superutenti nel ripristino MIP
Azure Information Protection supporta una funzionalità Super User che concede agli account designati la possibilità di decrittografare qualsiasi contenuto protetto da MIP nel tenant. I Super User possono aprire documenti protetti, rimuovere la protezione e riproteggerla con impostazioni diverse. Questa funzionalità è progettata per scenari di ripristino legittimi come partenze di dipendenti, blocchi legali e migrazioni di tenant.
Abilita l'accesso come super utente tramite il portale AIP Azure o PowerShell. Assegna il ruolo di Super Utente a un account di ripristino dedicato anziché a singoli account utente. L'account dedicato esiste solo a scopo di ripristino ed è strettamente controllato. Dopo un'operazione di ripristino, controlla l'attività del Super User per mantenere la responsabilità per quali documenti è stato effettuato l'accesso e perché.
Le organizzazioni che utilizzano MIP devono configurare l'accesso Super User prima di averne bisogno. Configurarlo in modo reattivo durante una crisi di blocco rischia di subire ritardi se l'amministratore con le autorizzazioni necessarie non è disponibile. La configurazione proattiva del Super User garantisce che un percorso di ripristino sia sempre disponibile finché esiste il tenant.
Migrazione di documenti protetti MIP durante il consolidamento del tenant
Quando le organizzazioni uniscono o consolidano i tenant di Azure AD, i documenti protetti da MIP devono essere migrati nell'infrastruttura di protezione del nuovo tenant. Il processo di migrazione prevede la decrittografia dei documenti nel tenant di origine, il trasferimento dei file non protetti al tenant di destinazione e, facoltativamente, la riapplicazione della protezione secondo le policy del tenant di destinazione.
Pianificare la migrazione durante un periodo in cui entrambi i tenant sono operativi. La finestra di migrazione può essere ristretta, in particolare se il tenant di origine viene disattivato in base a una pianificazione fissa. Assegnare la priorità ai documenti in base alla criticità aziendale. È necessario eseguire prima la migrazione dei documenti a cui si fa riferimento attivamente in questioni legali, finanziarie o normative in corso. I documenti archiviati con una frequenza di accesso inferiore possono essere migrati successivamente o lasciati non protetti nell'archivio.
Dopo la migrazione, verificare che i documenti protetti si aprano correttamente utilizzando le credenziali del tenant di destinazione. Il test conferma che la migrazione ha avuto esito positivo prima che il tenant di origine venisse disattivato. Un test fallito dopo l'eliminazione del tenant comporta una perdita permanente di dati che non può essere recuperata tramite alcun canale di supporto Microsoft, pertanto la fase di test non è facoltativa ma essenziale.
MIP è uno dei numerosi sistemi di protezione delle informazioni aziendali che collegano la decrittografia PDF a un servizio di directory esterno. I principi qui descritti per MIP si applicano ampiamente a qualsiasi protezione PDF basata su server: comprendere il percorso di autenticazione, utilizzarlo finché esiste, pianificare il suo eventuale ritiro e mantenere backup indipendenti dei contenuti critici in un formato che non dipenda dall'infrastruttura di un singolo fornitore per l'accesso.
La difesa più affidabile contro qualsiasi scenario di blocco DRM è semplice: prima di applicare la protezione, salvare una copia non protetta in un luogo sicuro e con accesso controllato. La copia protetta gestisce la sicurezza della distribuzione. La copia non protetta gestisce la continuità aziendale. Entrambi sono necessari per una strategia completa di protezione dei documenti.
Prova a sbloccare PDF
Nessuna installazione necessaria. Funziona direttamente nel tuo browser.