Het uploaden van een niet-gecodeerde PDF naar cloudopslag is als het versturen van een brief in een doorzichtige envelop. Iedereen met toegang tot de opslagdienst kan de inhoud lezen. PDF-codering vóór het uploaden voegt een beveiligingslaag toe die met het bestand meegaat. Zelfs als het cloudaccount wordt gehackt of de opslagprovider wordt getroffen door een inbreuk, blijft de gecodeerde PDF onleesbaar zonder het decoderingswachtwoord.
Het versleutelen van een PDF is niet hetzelfde als vertrouwen op de ingebouwde versleuteling van de cloudservice. Cloudproviders versleutelen de gegevens die op hun servers worden opgeslagen, maar zij beschikken over de coderingssleutels. Een PDF die vóór het uploaden wordt gecodeerd, gebruikt sleutels die alleen jij en de beoogde ontvangers beheren. De provider slaat gecodeerde gegevens op die ze niet kunnen decoderen, wat het sterkste beveiligingsmodel is dat beschikbaar is voor in de cloud opgeslagen documenten.
De PDF Security-tools van WukongPDF coderen PDF's voordat ze worden geüpload, zodat in de cloud opgeslagen documenten alleen leesbaar blijven voor geautoriseerde ontvangers.
De juiste coderingssterkte kiezen
PDF-codering maakt gebruik van het AES-algoritme met sleutelgroottes van 128 of 256 bits. Beide worden met de huidige technologie als veilig beschouwd tegen brute-force-aanvallen. 256-bit AES biedt een theoretische veiligheidsmarge tegen toekomstige ontwikkelingen op het gebied van kwantumcomputers. 128-bit AES is iets sneller te coderen en decoderen en is compatibel met een groter aantal oudere PDF-lezers. Voor de meeste zakelijke documenten zijn beide sterkten voldoende.
De belangrijkste beveiligingsfactor is het wachtwoord zelf. Een 256-bit AES-gecodeerde PDF met het wachtwoord 1234 biedt in wezen geen bescherming. Gebruik een wachtwoord van minimaal 12 tekens, waarbij u hoofdletters, kleine letters, cijfers en symbolen combineert. Het versleutelingsalgoritme beschermt tegen directe aanvallen op de versleutelde gegevens. Het wachtwoord beschermt tegen aanvallen op de decoderingssleutel. Een zwak wachtwoord ondermijnt de sterkste encryptie.
Wachtwoord versus op certificaten gebaseerde codering
Wachtwoordversleuteling maakt gebruik van een gedeeld geheim: iedereen die het wachtwoord kent, kan de PDF ontsleutelen. Dit is eenvoudig in te stellen en werkt wanneer u via een apart kanaal het wachtwoord aan de ontvanger kunt doorgeven. Op certificaten gebaseerde versleuteling maakt gebruik van de openbare-sleutelinfrastructuur: u versleutelt de PDF met behulp van het openbare certificaat van de ontvanger, en alleen de houder van de bijbehorende privésleutel kan deze ontsleutelen. Er is geen gedeeld wachtwoord nodig.
Certificaatversleuteling is veiliger voor herhaaldelijk delen met dezelfde ontvangers, omdat elke ontvanger zijn eigen certificaat gebruikt. Een gecompromitteerd wachtwoord heeft slechts gevolgen voor één gebruiker. Wachtwoordversleuteling is eenvoudiger voor eenmalig delen met nieuwe ontvangers, omdat er vooraf geen certificaatuitwisseling nodig is. Kies op basis van uw deelpatroon: certificaat voor terugkerende vertrouwde ontvangers, wachtwoord voor ad-hoc delen.
Coderen in Adobe Acrobat Pro
Open de PDF in Acrobat Pro en ga naar Bestand en vervolgens naar Eigenschappen. Klik op het tabblad Beveiliging. Kies Wachtwoordbeveiliging in de vervolgkeuzelijst Beveiligingsmethode. Vink Wachtwoord vereisen om het document te openen aan en voer een sterk wachtwoord in. Voor 256-bit AES selecteert u Acrobat X en hoger in de vervolgkeuzelijst Compatibiliteit. Klik op OK, bevestig het wachtwoord en sla het bestand op.
In de praktijk behoudt de gecodeerde PDF hetzelfde visuele uiterlijk, maar vereist nu het wachtwoord om te openen. Test door het opgeslagen bestand in een PDF-lezer te openen. De lezer moet om het wachtwoord vragen. Voer het juiste wachtwoord in om te bevestigen dat het bestand wordt geopend. Probeer te openen zonder het wachtwoord om te bevestigen dat de toegang is geweigerd. De test bevestigt dat de codering correct is toegepast voordat het bestand uw controle verlaat.
Coderen zonder geïnstalleerde software
Browsergebaseerde PDF-coderingstools passen dezelfde AES-codering toe via een webinterface. Upload de PDF, stel een wachtwoord in en download de gecodeerde versie. Het resulterende bestand wordt gecodeerd met behulp van de standaardcoderingsmethoden van de PDF-specificatie, identiek aan wat Acrobat Pro produceert. De veiligheidsoverweging is dat de niet-gecodeerde PDF ter verwerking naar een externe server wordt geüpload. Kies voor een dienst met een duidelijk privacybeleid waarin staat dat geüploade bestanden na verwerking worden verwijderd.
| Encryptiemethode | Kracht | Beste voor |
|---|---|---|
| 256-bit AES-wachtwoord | Sterk, op wachtwoord gebaseerd | De meeste zakelijke documenten, individueel delen |
| Op certificaat gebaseerd | Sterk, op identiteit gebaseerd | Enterprise, terugkerende ontvangersgroepen |
| 128-bit AES-wachtwoord | Voldoende, breed compatibel | Documenten gedeeld met oudere PDF-lezers |
Na het uploaden: gecodeerde PDF's in de cloud beheren
Nadat de gecodeerde PDF naar de cloudopslag is geüpload, wordt het bestand in rust beschermd. Als u de PDF echter bekijkt via het webvoorbeeld van de cloudservice, decodeert de service het bestand tijdelijk om het voorbeeld weer te geven, waardoor de inhoud wordt weergegeven op de servers van de cloudprovider. Voor maximale veiligheid downloadt u de gecodeerde PDF en opent u deze lokaal in plaats van deze via het cloudvoorbeeld te bekijken.
Deel het decoderingswachtwoord via een kanaal dat gescheiden is van de link voor delen in de cloud. Stuur de clouddownloadlink per e-mail en het wachtwoord per sms of telefoontje. Als zowel de link als het wachtwoord in dezelfde e-mail staan, heeft een aanvaller die die e-mail compromitteert alles wat nodig is om toegang te krijgen tot het document. De gescheiden-kanaalbenadering voegt een kleine communicatiestap toe, maar vergroot aanzienlijk de moeilijkheid van ongeautoriseerde toegang.
Door PDF's te versleutelen voordat ze naar de cloud worden geüpload, wordt een beveiligingslaag toegevoegd die uw documenten beschermt, zelfs als u geen controle heeft over de cloudinfrastructuur. De codering wordt met het bestand meegestuurd, waar het ook naartoe gaat: op de cloudserver, onderweg of gedownload naar het apparaat van de ontvanger.
Wat te doen als het coderingswachtwoord verloren is
Als het coderingswachtwoord verloren gaat en er geen back-up bestaat, is de documentinhoud feitelijk ontoegankelijk. PDF-codering maakt gebruik van krachtige algoritmen zonder achterdeur. Het enige herstelpad is het proberen van elk wachtwoord dat u mogelijk hebt gebruikt of het herstellen van het niet-gecodeerde origineel vanaf een back-up of brondocument.
Dit is de reden waarom wachtwoordbeheer van cruciaal belang is. Bewaar het wachtwoord onmiddellijk na het coderen in een wachtwoordbeheerder. Controleer of u het gecodeerde bestand kunt openen voordat u niet-gecodeerde kopieën verwijdert. Een verloren wachtwoord betekent permanent ontoegankelijke inhoud.
Voordat u gecodeerde PDF's naar de cloudopslag uploadt, moet u controleren of de cloudservice niet probeert voorbeelden van gecodeerde bestanden te maken. Sommige services proberen voorbeelden weer te geven door bestanden te openen, wat mislukt bij gecodeerde PDF's en mogelijk ondersteuningswaarschuwingen genereert.
Voor samenwerkingsworkflows waarbij meerdere mensen toegang nodig hebben tot gecodeerde, in de cloud opgeslagen PDF's, gebruikt u een wachtwoordbeheerder met gedeelde kluizen. Elke geautoriseerde persoon heeft toegang tot het wachtwoord via de gedeelde kluis en de toegang kan individueel worden ingetrokken.
In de praktijk biedt de combinatie van lokale encryptie en cloudopslag het beste van twee werelden: cloudtoegankelijkheid en deelgemak met lokaal gecontroleerde encryptiebeveiliging. De cloudprovider slaat bytes op die ze niet kunnen lezen.
Versleuteling vóór het uploaden is een beveiligingsgewoonte die minimale tijd toevoegt aan de deelworkflow. De coderingsstap duurt seconden. Het beveiligingsvoordeel duurt de hele tijd dat het document in de cloudopslag blijft.
De kiezer voor de coderingssterkte in PDF-tools is standaard ingesteld op 128-bit AES voor maximale compatibiliteit met oudere lezers. Voor documenten die alleen door moderne lezers worden geopend, selecteert u 256-bit AES voor de sterkere beveiligingsmarge.
Wanneer u PDF's codeert voor archiefopslag, documenteert u het coderingswachtwoord op een veilige locatie, gescheiden van de gearchiveerde bestanden. Een gearchiveerde gecodeerde PDF met een verloren wachtwoord is net zo ontoegankelijk als een beschadigd bestand.
Sommige PDF-lezers hanteren andere encryptieregels dan andere. Een PDF die is gecodeerd met 256-bit AES en die correct wordt geopend in Acrobat Reader, wordt mogelijk niet geopend in een oudere of minder capabele reader. Test met de doellezersoftware.
Digitale handtekeningen en encryptie zijn complementaire maar onafhankelijke beschermingen. Encryptie voorkomt ongeautoriseerde weergave. Digitale handtekeningen voorkomen ongeoorloofde wijziging. Een document kan een van beide, beide of geen van beide bevatten.
Bij de meeste tools is de bestandsgrootte van een gecodeerde PDF vrijwel identiek aan die van het niet-gecodeerde origineel. Encryptie voegt minimale overhead toe omdat het op de inhoudsstromen werkt zonder de bestandsstructuur aanzienlijk te veranderen.
Voor batchversleuteling van meerdere PDF's die naar cloudopslag gaan, kan Acrobat Pro Action Wizard dezelfde versleutelingsinstellingen toepassen op een map met bestanden. Elk bestand krijgt identieke bescherming zonder handmatige configuratie per bestand.
Normaal gesproken mag het coderingswachtwoord niet worden afgeleid van de documentinhoud of metagegevens. Een wachtwoord op basis van de documenttitel of aanmaakdatum is te raden. Gebruik een willekeurige wachtwoordgenerator voor documenten die sterke bescherming nodig hebben.
Na het coderen van een PDF bestaat het niet-gecodeerde origineel nog steeds en moet dit veilig worden verwerkt. Verwijder het niet-gecodeerde origineel of bewaar het in een gecodeerde container. De codering op de PDF beschermt alleen die specifieke kopie.
Cloudopslag zonder encryptie aan de clientzijde is een model van gedeelde verantwoordelijkheid waarbij de provider de infrastructuur beveiligt en de gebruiker de gegevens. Het toevoegen van PDF-codering vóór het uploaden vervult de gebruikerskant van die verantwoordelijkheid. De gecodeerde PDF is beschermd tegen schendingen van de provider, bedreigingen van binnenuit en onbedoelde blootstelling door verkeerd geconfigureerde machtigingen voor delen.
Het versleutelen van PDF's voordat ze naar de cloud worden geüpload, is een beveiligingspraktijk die behalve wachtwoordbeheer geen doorlopend onderhoud vereist. De codering blijft bij het bestand, waar het ook naartoe gaat. Het wachtwoord blijft bij de geautoriseerde ontvangers. De cloudprovider slaat bytes op die ze niet kunnen interpreteren.