暗号化されていない PDF をクラウド ストレージにアップロードすることは、透明な封筒に手紙を入れて郵送することに似ています。ストレージ サービスにアクセスできる人は誰でもコンテンツを読むことができます。アップロード前のPDF 暗号化により、ファイルとともに移動する保護層が追加されます。クラウド アカウントが侵害されたり、ストレージ プロバイダーが侵害を受けたりした場合でも、暗号化された PDF は復号化パスワードがなければ読み取ることができません。
PDF の暗号化は、クラウド サービスの組み込み暗号化に依存することと同じではありません。クラウド プロバイダーはサーバー上に保存されているデータを暗号化しますが、暗号化キーはクラウド プロバイダーが保持します。アップロード前に暗号化される PDF では、あなたと対象の受信者のみが管理するキーが使用されます。プロバイダーは、復号化できない暗号化されたデータを保存します。これは、クラウドに保存されたドキュメントで利用できる最も強力なセキュリティ モデルです。
WukongPDF の PDF Security ツールは、アップロード前に PDF を暗号化し、クラウドに保存されたドキュメントを許可された受信者のみが読み取れるようにします。
適切な暗号化強度の選択
PDF 暗号化では、キー サイズ 128 または 256 ビットの AES アルゴリズムが使用されます。どちらも現在のテクノロジーではブルートフォース攻撃に対して安全であると考えられています。 256 ビット AES は、将来の量子コンピューティングの進歩に対する理論上のセキュリティ マージンを提供します。 128 ビット AES は、暗号化と復号化がわずかに速く、より広範囲の古い PDF リーダーと互換性があります。ほとんどのビジネス文書では、どちらかの強度で十分です。
より重要なセキュリティ要素はパスワードそのものです。パスワード 1234 を持つ 256 ビット AES 暗号化 PDF は、基本的に保護を提供しません。大文字、小文字、数字、記号を組み合わせた 12 文字以上のパスワードを使用してください。暗号化アルゴリズムは、暗号化されたデータに対する直接的な攻撃から保護します。パスワードは、復号化キーに対する攻撃から保護します。パスワードが弱いと、最も強力な暗号化が損なわれてしまいます。
パスワードと証明書ベースの暗号化
パスワード暗号化では共有秘密を使用します。パスワードを知っている人なら誰でも PDF を復号化できます。これはセットアップが簡単で、別のチャネルを通じて受信者にパスワードを伝えることができる場合に機能します。証明書ベースの暗号化では、公開キー インフラストラクチャを使用します。受信者の公開証明書を使用して PDF を暗号化し、対応する秘密キーの所有者のみが PDF を復号化できます。共有パスワードは必要ありません。
証明書の暗号化は、各受信者が独自の証明書を使用するため、同じ受信者と繰り返し共有する場合により安全です。パスワードが侵害された場合、影響を受けるのは 1 人のユーザーのみです。パスワード暗号化は、事前に証明書を交換する必要がないため、新しい受信者と 1 回だけ共有する場合に簡単です。共有パターンに基づいて選択します: 定期的な信頼できる受信者用の証明書、アドホック共有用のパスワード。
Adobe Acrobat Pro での暗号化
Acrobat Pro で PDF を開き、「ファイル」、「プロパティ」の順に移動します。 「セキュリティ」タブをクリックします。 [セキュリティ方法] ドロップダウンから、[パスワード セキュリティ] を選択します。 「文書を開くにはパスワードが必要」にチェックを入れ、強力なパスワードを入力します。 256 ビット AES の場合は、「互換性」ドロップダウンから「Acrobat X 以降」を選択します。 「OK」をクリックし、パスワードを確認してファイルを保存します。
実際には、暗号化された PDF は同じ外観を保ちますが、開くにはパスワードが必要になります。保存したファイルを PDF リーダーで開いてテストします。リーダーはパスワードの入力を求めるプロンプトを表示します。正しいパスワードを入力してファイルが開くことを確認します。パスワードなしで開いてみて、アクセスが拒否されていることを確認します。このテストでは、ファイルが制御を離れる前に暗号化が正しく適用されたことを確認します。
ソフトウェアをインストールしないでの暗号化
ブラウザベースの PDF 暗号化ツールは、Web インターフェイスを通じて同じ AES 暗号化を適用します。 PDF をアップロードし、パスワードを設定し、暗号化されたバージョンをダウンロードします。結果のファイルは、Acrobat Pro が生成するものと同じ、PDF 仕様の標準暗号化方式を使用して暗号化されます。セキュリティ上の考慮事項は、暗号化されていない PDF が処理のためにリモート サーバーにアップロードされることです。アップロードされたファイルは処理後に削除されるという明確なプライバシー ポリシーがあるサービスを選択してください。
| 暗号化方式 | 強度 | 最適な用途 |
|---|---|---|
| 256ビットAESパスワード | 強力なパスワードベース | ほとんどのビジネス文書、個人共有 |
| 証明書ベース | 強力でアイデンティティに基づいた | エンタープライズ、定期的な受信者グループ |
| 128ビットAESパスワード | 適切で幅広い互換性 | 古い PDF リーダーと共有されたドキュメント |
アップロード後: クラウドでの暗号化 PDF の管理
暗号化された PDF をクラウド ストレージにアップロードすると、ファイルは保存時に保護されます。ただし、クラウド サービスの Web プレビューを通じて PDF を表示すると、サービスはファイルを一時的に復号化してプレビューをレンダリングし、コンテンツがクラウド プロバイダーのサーバーに公開されます。セキュリティを最大限に高めるには、暗号化された PDF をダウンロードし、クラウド プレビューで表示するのではなく、ローカルで開きます。
クラウド共有リンクとは別のチャネルを通じて復号化パスワードを共有します。クラウド ダウンロード リンクを電子メールで送信し、パスワードをテキスト メッセージまたは電話で送信します。リンクとパスワードの両方が同じ電子メール内にある場合、その電子メールを侵害する攻撃者は、ドキュメントにアクセスするために必要なものをすべて手に入れてしまいます。別のチャネルのアプローチでは、小さな通信ステップが追加されますが、不正アクセスの難易度は大幅に増加します。
クラウドにアップロードする前に PDF を暗号化すると、クラウド インフラストラクチャが制御できない場合でもドキュメントを保護するセキュリティ層が追加されます。暗号化は、クラウド サーバー上、転送中、または受信者のデバイスへのダウンロード中など、ファイルがどこに移動しても一緒に送信されます。
暗号化パスワードを紛失した場合の対処法
暗号化パスワードが失われ、バックアップが存在しない場合、ドキュメントのコンテンツには事実上アクセスできなくなります。 PDF 暗号化では、バックドアのない強力なアルゴリズムが使用されます。唯一の回復方法は、使用した可能性のあるすべてのパスワードを試すか、バックアップまたはソース文書から暗号化されていない元のパスワードを復元することです。
このため、パスワード管理が重要です。パスワードは暗号化後すぐにパスワード マネージャーに保存します。暗号化されていないコピーを削除する前に、暗号化されたファイルを開けられることを確認してください。パスワードを紛失すると、コンテンツに永久にアクセスできなくなります。
暗号化された PDF をクラウド ストレージにアップロードする前に、クラウド サービスが暗号化されたファイルのプレビューを作成しようとしないことを確認してください。一部のサービスは、ファイルを開いてプレビューをレンダリングしようとしますが、暗号化された PDF では失敗し、サポート アラートが生成される場合があります。
複数のユーザーが暗号化されたクラウドに保存された PDF にアクセスする必要がある共同ワークフローの場合は、共有ボールトを備えたパスワード マネージャーを使用します。許可された各ユーザーは共有ボールトを通じてパスワードにアクセスし、アクセスは個別に取り消すことができます。
実際には、ローカル暗号化とクラウド ストレージを組み合わせると、クラウドへのアクセス性と、ローカルで制御される暗号化セキュリティによる共有の利便性という両方の長所が得られます。クラウド プロバイダーは、読み取れないバイトを保存します。
アップロード前の暗号化は、共有ワークフローにかかる時間を最小限に抑えるセキュリティ習慣です。暗号化の手順には数秒かかります。セキュリティ上の利点は、ドキュメントがクラウド ストレージに保存されている間ずっと持続します。
PDF ツールの暗号化強度セレクターは、古いリーダーとの互換性を最大限に高めるために、デフォルトで 128 ビット AES に設定されています。最新のリーダーのみが開くドキュメントの場合は、セキュリティ マージンを強化するために 256 ビット AES を選択してください。
アーカイブ保存用に PDF を暗号化する場合は、暗号化パスワードをアーカイブ ファイルとは別の安全な場所に文書化してください。パスワードを紛失したアーカイブされた暗号化 PDF は、破損したファイルと同様にアクセスできなくなります。
一部の PDF リーダーは、他のものとは異なる暗号化ルールを適用します。 256 ビット AES で暗号化された PDF は、Acrobat Reader で正しく開くことができますが、古いリーダーや性能の低いリーダーでは開けない場合があります。ターゲットリーダーソフトウェアを使用してテストします。
デジタル署名と暗号化は補完的なものですが、独立した保護です。暗号化により不正な閲覧を防ぎます。デジタル署名により、不正な変更が防止されます。ドキュメントには、いずれか、または両方を含めることも、どちらも含めることもできません。
ほとんどのツールにおいて、暗号化された PDF のファイル サイズは、暗号化されていない元の PDF とほぼ同じです。暗号化は、ファイル構造を大幅に変更することなくコンテンツ ストリームを処理するため、追加されるオーバーヘッドが最小限に抑えられます。
クラウドストレージに送信される複数の PDF をバッチ暗号化する場合、Acrobat Pro Action Wizard は同じ暗号化設定をファイルのフォルダーに適用できます。ファイルごとに手動で構成しなくても、各ファイルは同一の保護を受けます。
通常、暗号化パスワードはドキュメントのコンテンツやメタデータから導出すべきではありません。ドキュメントのタイトルまたは作成日に基づいたパスワードは推測可能です。強力な保護が必要なドキュメントには、ランダム パスワード ジェネレーターを使用します。
PDF を暗号化した後も、暗号化されていないオリジナルがまだ存在するため、安全に処理する必要があります。暗号化されていないオリジナルを削除するか、暗号化されたコンテナに保存します。 PDF の暗号化は、その特定のコピーのみを保護します。
クライアント側の暗号化を行わないクラウド ストレージは、プロバイダーがインフラストラクチャを保護し、ユーザーがデータを保護する責任共有モデルです。アップロード前に PDF 暗号化を追加すると、ユーザー側の責任が果たされます。暗号化された PDF は、プロバイダーの違反、内部関係者の脅威、および共有権限の設定が間違っていることによる偶発的な公開から保護されます。
クラウドにアップロードする前に PDF を暗号化するのはセキュリティ対策であり、パスワード管理以外の継続的なメンテナンスは必要ありません。暗号化はファイルがどこに移動してもそのまま残ります。パスワードは承認された受信者に保管されます。クラウド プロバイダーは、解釈できないバイトを保存します。