Microsoft Information Protection (MIP), voorheen bekend als Azure Information Protection, past versleuteling en gebruiksrechten toe op documenten op basis van gevoeligheidslabels die zijn geconfigureerd door de IT-beheerders van een organisatie. Een PDF die door MIP wordt beschermd, wordt gecodeerd en onderworpen aan toegangsbeleid dat het bekijken, bewerken, afdrukken en kopiëren kan beperken. Als u probeert zo'n PDF te openen in een standaardviewer die MIP niet ondersteunt, resulteert dit in een fout of een leeg scherm.
Dit is geen gewone wachtwoordvergrendeling.
Het ontgrendelen van een PDF die is beveiligd door Microsoft Information Protection verschilt van het kraken van een standaard, met een wachtwoord beveiligde PDF. De versleuteling is gekoppeld aan de identiteit van uw organisatie in Azure Active Directory, niet aan een statisch wachtwoord dat u kunt typen. Het ontgrendelingspad is afhankelijk van of u legitieme toegangsrechten heeft, of het beveiligingsbeleid is verlopen en of het bestand afkomstig is van uw eigen organisatie of van een externe entiteit. Weten welk scenario op uw situatie van toepassing is, bepaalt de juiste aanpak.
Hoe Microsoft Information Protection PDF's codeert
MIP verpakt het document in een beveiligde container die rechtenbeheer afdwingt via Azure Rights Management Services. De daadwerkelijke versleuteling maakt gebruik van AES-256 en de decoderingssleutel wordt opgeslagen in de Azure-cloud in plaats van ingesloten in het bestand. Zelfs als u over het PDF-bestand beschikt, kunt u het niet ontsleutelen zonder u te verifiëren bij de Azure AD-tenant die de beveiliging heeft verleend. Het bezit van het bestand betekent niet dat u toegang heeft tot de inhoud ervan.
De PDF-standaard zelf ondersteunt standaard geen MIP-codering. MIP-beveiligde PDF's zijn eigenlijk .ppdf-bestanden (Beveiligde PDF) die een wrapper-indeling gebruiken die wordt begrepen door Adobe Acrobat, Adobe Reader en Microsoft Edge wanneer de juiste MIP-clientsoftware is geïnstalleerd. Zonder de MIP-client lijken deze bestanden voor de meeste PDF-viewers beschadigd of onleesbaar. Dit wrappermechanisme verschilt fundamenteel van de op wachtwoorden gebaseerde encryptie die in de PDF-specificatie zelf is ingebouwd.
Een PDF ontgrendelen met uw eigen organisatieaccount
Toegang voor dezelfde huurder is het eenvoudige geval. Installeer de Azure Information Protection-client of de Microsoft Purview Information Protection-client op uw apparaat. Open de PDF in Adobe Acrobat of Adobe Reader, die kan worden geïntegreerd met de MIP-client. De toepassing vraagt u om u aan te melden met uw organisatieaccount. Eenmaal geverifieerd, wordt de coderingslaag op transparante wijze verwijderd voor uw sessie en kunt u normaal met de PDF werken.
De tool PDF ontgrendelen van WukongPDF kan standaard PDF-beveiliging op basis van wachtwoorden aan. Voor MIP-gecodeerde bestanden vereist het ontgrendelingsproces echter organisatorische authenticatie in plaats van een eenvoudige verwijdering van het wachtwoord. Als u begrijpt met welk type bescherming u te maken heeft, bespaart u tijd en voorkomt u vergeefse pogingen met de verkeerde tool. Controleer de bestandsextensie en eventuele foutmeldingen bij het openen van het bestand om te bepalen of je met MIP of standaard PDF-beveiliging te maken hebt.
Apparaten die niet bij een domein zijn aangesloten, werken ook. De MIP-client functioneert nog steeds zolang u zich kunt aanmelden met uw organisatiereferenties. De client brengt een beveiligde verbinding tot stand met de Azure RMS-server en haalt de gebruikslicentie op die toegang verleent tot het beveiligde bestand. Afhankelijk van het voorwaardelijke toegangsbeleid van de organisatie kan meervoudige authenticatie vereist zijn. Het proces duurt een paar seconden, maar werkt vanaf elk apparaat met internetverbinding.
Toegang tot een met MIP beveiligde PDF aanvragen bij een externe organisatie
Toegang tussen meerdere tenants betekent dat het bestand is versleuteld onder de Azure AD van iemand anders. De inloggegevens van uw organisatie kunnen deze niet ontgrendelen omdat uw account niet in hun directory bestaat. De meeste met MIP beveiligde bestanden bevatten een e-mailadres voor contact of een koppeling in het bericht over toegang geweigerd dat wordt geopend wanneer een ongeautoriseerde gebruiker probeert het bestand te openen. Dit is het startpunt voor het aanvragen van toegang.
Zodra u toegang heeft gekregen van de documenteigenaar, ontvangt u een e-mailmelding. Het bestand wordt toegankelijk wanneer u zich authenticeert met de identiteit die de eigenaar heeft geautoriseerd. Dit proces kan enkele minuten tot meerdere werkdagen duren, afhankelijk van de responstijd van de organisatie en hun interne goedkeuringsworkflows voor extern delen. Plan dienovereenkomstig, vooral wanneer het beschermde document tijdgevoelig is.
Terugkerende uitwisselingen profiteren van een permanente infrastructuur. Vraag de externe organisatie om cross-tenant vertrouwensrelaties of B2B-samenwerking in azure AD in te stellen. Hierdoor wordt een permanent authenticatiepad tussen de twee mappen tot stand gebracht en worden toegangsverzoeken per document geëlimineerd. Hoewel de opzet coördinatie tussen IT-afdelingen vereist, is de efficiëntiewinst op de lange termijn aanzienlijk voor organisaties die regelmatig beveiligde documenten uitwisselen.
| Scenario | Ontgrendelmethode | Benodigde tijd |
|---|---|---|
| MIP-bestand van dezelfde organisatie, geldig account | Meld u aan met organisatiereferenties in de MIP-client | Seconden |
| MIP-bestand van dezelfde organisatie, account verlopen of uitgeschakeld | Neem contact op met interne IT om de toegang te herstellen | Uren tot dagen |
| Extern MIP-bestand, geen toegang verleend | Vraag toegang aan de documenteigenaar | Uren tot dagen |
| Met MIP beveiligde bestanden van voormalige werknemers | De IT-beheerder kan het eigendom opnieuw toewijzen of in bulk decoderen | Minuten tot uren |
Wat te doen als het beschermingsbeleid verloopt of wordt ingetrokken
MIP-beveiligingsbeleid kan vervaldata bevatten. Na het verlopen blijft de versleuteling van kracht, maar worden de ontsleutelingssleutels niet langer door Azure RMS geleverd. De authenticatie slaagt, maar de gebruikslicentie kan niet worden afgegeven en het bestand weigert te openen. Hetzelfde gebeurt wanneer de documenteigenaar de toegang via de Azure-portal intrekt terwijl u nog over een lokale kopie beschikt.
Er is geen bypass aan de gebruikerszijde. De enige optie is contact opnemen met de documenteigenaar of de IT-afdeling van de organisatie en verzoeken dat de beveiliging opnieuw wordt verleend of dat er een onbeveiligde kopie van het document wordt verstrekt. Dit is zo ontworpen. MIP is een rechtenbeheersysteem dat is gebouwd voor scenario's waarin de documenteigenaar de controle over de toegang moet behouden, zelfs nadat het bestand zijn bezit heeft verlaten. Vanuit het standpunt van PDF Security is deze aanhoudende controle de kernwaardepropositie van MIP en het belangrijkste gebruikersknelpunt.
Een ontgrendelde MIP-PDF converteren naar een standaard onbeveiligde PDF
Met succes een MIP-beveiligde PDF geopend? Met de functie Opslaan als van Adobe Acrobat kunt u een standaard PDF-kopie opslaan zonder de beveiligingslaag. Deze gestripte kopie werkt normaal in elke PDF-viewer en elke workflow. Voordat u dit doet, moet u overwegen of het verwijderen van de beveiliging in strijd is met het gegevensverwerkingsbeleid van uw organisatie of met de voorwaarden waaronder de documenteigenaar het bestand heeft gedeeld.
Nalevingsbeleid kan het maken van onbeveiligde kopieën categorisch verbieden. In omgevingen waar MIP verplicht is gesteld door wettelijke vereisten, vormt het omzeilen van de bescherming een schending van de naleving met ernstige gevolgen. De wrijving van MIP-authenticatie is een functie die is ontworpen om ongeoorloofde distributie te voorkomen, en niet een bug waar omheen moet worden gewerkt. Laat bij twijfel de bescherming op zijn plaats en werk binnen de geauthenticeerde omgeving.