Een voormalig werknemer heeft vijf jaar geleden een pdf gemaakt en deze met een wachtwoord beveiligd. De medewerker is verder gegaan. Het wachtwoord is nooit gedocumenteerd. Het bestand is nodig voor een audit, een juridische kwestie of een referentieproject, en niemand in de organisatie kan het openen. Dit scenario speelt zich af in organisaties van elke omvang, omdat PDF-wachtwoorden, in tegenstelling tot netwerkwachtwoorden, zelden worden beheerd door IT of worden opgeslagen in een wachtwoordbeheerder.
Het herstellen van de toegang tot een Ontgrendel PDF-situatie waarin het wachtwoord verloren is gegaan, vereist een combinatie van organisatorisch detectivewerk en technische hulpmiddelen. De aanpak hangt af van hoe de pdf is beveiligd, welke informatie beschikbaar is over de voormalige medewerker en of de organisatie beheerderstoegang heeft tot de systemen die de medewerker heeft gebruikt.
Eerste stappen: organisatorisch herstel vóór technisch herstel
Voordat u probeert het wachtwoord te kraken of te omzeilen, moet u de herstelopties van de organisatie benutten. Zoek in het e-mailarchief van voormalige medewerkers, indien bewaard, naar berichten waarin de pdf-bestandsnaam of het wachtwoord worden vermeld. Controleer gedeelde schijven en documentbeheersystemen op onbeveiligde kopieën van hetzelfde bestand. Neem contact op met collega's die met de oud-medewerker hebben samengewerkt en mogelijk het wachtwoord hebben ontvangen.
Controleer de documenteigenschappen op aanwijzingen. Zelfs een met een wachtwoord beveiligde PDF geeft meestal de metagegevens weer: de naam van de auteur, de aanmaakdatum en de gemaakte toepassing. De auteursnaam kan identificeren wie binnen de organisatie het bestand heeft gemaakt. De aanmaakdatum beperkt de periode waarin het wachtwoord is ingesteld. Deze aanwijzingen kunnen u helpen bij het zoeken naar het wachtwoord of een onbeveiligde kopie.
Begin met het eenvoudigste herstelpad voordat u escaleert naar technische oplossingen.
Als de organisatie gebruik maakt van een wachtwoordmanager waartoe de voormalig medewerker toegang had, controleer dan of het pdf-wachtwoord daar is opgeslagen. Enterprise-wachtwoordmanagers bewaren vaak kluisgegevens van vertrokken werknemers gedurende een configureerbare bewaarperiode. Het IT- of beveiligingsteam kan de kluis doorzoeken op vermeldingen die verband houden met de PDF-bestandsnaam.
Technische herstelopties voor met wachtwoord beveiligde PDF's
PDF-wachtwoorden zijn er in twee soorten, en de herstelaanpak verschilt voor elk type. Een open wachtwoord voorkomt dat het bestand überhaupt kan worden geopend. Zonder dit kan de PDF-lezer de documentinhoud niet decoderen. Met een machtigingswachtwoord kan het bestand worden geopend, maar worden het afdrukken, kopiëren en bewerken beperkt. Er bestaan herstelopties voor beide typen, maar deze zijn beperkter voor open wachtwoorden.
Voor machtigingswachtwoorden kunnen browsergebaseerde PDF Security-tools de beperkingen vaak opheffen zonder het wachtwoord te kennen. Deze tools lezen de gecodeerde PDF, verwijderen de machtigingsvlaggen en slaan een nieuwe PDF zonder beperkingen op. De documentinhoud is toegankelijk en de enige barrière was het machtigingswachtwoord, dat de tool omzeilt door te werken met de reeds gedecodeerde inhoudsstroom.
Voor open wachtwoorden is herstel moeilijker. De bestandsinhoud wordt gecodeerd met het wachtwoord als sleutel, en zonder de sleutel kan de inhoud niet worden gedecodeerd. Hulpprogramma's voor wachtwoordherstel proberen het wachtwoord te raden door algemene wachtwoorden, woordenboekwoorden en variaties uit te proberen. Het slagingspercentage is afhankelijk van de wachtwoordsterkte. Een voormalig werknemer die het wachtwoord heeft ingesteld op zijn koosnaam of een veelgebruikt woord, kan mogelijk worden hersteld. Een willekeurig gegenereerd wachtwoord van 16 tekens is dat niet.
WukongPDF biedt tools voor het ontgrendelen van PDF's via de browser waarmee toegangswachtwoorden kunnen worden verwijderd uit bestanden waarvan de documentinhoud toegankelijk maar beperkt is. Voor bestanden met open wachtwoorden zijn de herstelopties afhankelijk van de complexiteit van het wachtwoord.
Wanneer technisch herstel mislukt
Als het open wachtwoord niet kan worden hersteld of gekraakt, zoek dan naar het originele brondocument. De PDF is waarschijnlijk gemaakt op basis van een Word-document, een Excel-spreadsheet of een ontwerpbestand. Als het bronbestand zonder wachtwoordbeveiliging bestaat, maakt u de PDF opnieuw op basis van de bron. Zelfs als het bronbestand niet identiek is aan de uiteindelijke PDF, kan het de benodigde informatie bevatten.
Als de PDF is gemaakt door een fysiek document te scannen, zoekt u het originele papieren document op en scant u het opnieuw. De gescande versie zal niet identiek zijn aan de met een wachtwoord beveiligde versie, maar zal dezelfde informatie bevatten. Voor juridische en auditdoeleinden kan een nieuwe scan van het originele document een acceptabele vervanging zijn voor de ontoegankelijke PDF.
Om dit in de toekomst te voorkomen, implementeert u een organisatiebeleid dat vereist dat PDF-wachtwoorden op een veilige, doorzoekbare locatie worden gedocumenteerd. Een invoer in de wachtwoordbeheerder, een notitie in de metadata van het documentbeheersysteem of een record in het projectbestand zijn allemaal beter dan te vertrouwen op het geheugen van één persoon. De paar seconden die nodig zijn om het wachtwoord te documenteren, voorkomen de uren of dagen die nodig zijn om het wachtwoord te herstellen.
De coderingssterkte van het PDF-wachtwoord is van belang voor de herstelmogelijkheden. Een PDF die is gecodeerd met 256-bit AES en is beveiligd met een sterk wachtwoord, kan zonder het wachtwoord feitelijk niet worden hersteld. Een PDF die is gecodeerd met het oudere RC4-40-algoritme, gebruikelijk in PDF's die vóór 2003 zijn gemaakt, kan binnen een redelijk tijdsbestek met moderne hulpmiddelen worden gekraakt.
Voordat u probeert een wachtwoord te herstellen voor een bestand waarvoor mogelijk wettelijke bewaarplichten of wettelijke bewaarvereisten gelden, moet u controleren of de herstelpoging is geautoriseerd. Wachtwoordherstel op een document dat als bewijsmateriaal geldt in een juridische kwestie of onderworpen is aan regelgeving inzake gegevensbescherming kan juridische implicaties hebben die moeten worden beoordeeld voordat u verdergaat.
Het voorkomen van toekomstige scenario's waarbij wachtwoorden verloren gaan, vereist een eenvoudige organisatorische praktijk: wanneer u een met een wachtwoord beveiligde PDF maakt, slaat u het wachtwoord op in de wachtwoordbeheerder van de organisatie of in de metagegevens van het documentbeheersysteem. De opslag duurt seconden en voorkomt het urenlange herstelproces dat hier wordt beschreven.
Als de PDF informatie bevat die ook in andere systemen is opgeslagen, zoals een rapport dat is gegenereerd op basis van een database of een contract dat is opgeslagen op een contractbeheerplatform, haal dan de informatie op uit die systemen in plaats van te proberen het wachtwoord te achterhalen. De PDF is vaak één exemplaar onder vele, en andere exemplaren zijn mogelijk zonder wachtwoord toegankelijk.
Enterprise-oplossingen voor wachtwoordbeheer kunnen worden geïntegreerd met workflows voor het maken van documenten, zodat automatisch PDF-wachtwoorden worden vastgelegd wanneer deze zijn ingesteld. Voor de integratie moet de software voor het maken van PDF's worden geconfigureerd om wachtwoorden in de wachtwoordkluis van de onderneming te loggen. Eenmaal geconfigureerd, is de opname automatisch en transparant voor de gebruiker.
Wanneer een voormalig medewerker het wachtwoord heeft ingesteld, overweeg dan of het wachtwoord een persoonlijk patroon volgt. Veel mensen hergebruiken wachtwoorden of gebruiken varianten van hetzelfde wachtwoord op meerdere systemen. Als de organisatie over andere wachtwoorden beschikt waarvan bekend is dat ze door de voormalige werknemer zijn gebruikt, kunnen deze de strategie voor het raden van wachtwoorden bepalen.
Voor documenten van aanzienlijke waarde die alle herstelpogingen weerstaan, zijn professionele gegevenshersteldiensten gespecialiseerd in gecodeerde bestandstoegang. Deze services maken gebruik van gespecialiseerde hardware en software om wachtwoordherstel te proberen met snelheden die veel hoger zijn dan die van consumententools. De kosten zijn gerechtvaardigd als de documentwaarde hoger is dan de herstelkosten.
Het offboardingproces van de organisatie moet een stap omvatten voor het documenteren en overdragen van toegang tot met een wachtwoord beveiligde bestanden die door de vertrekkende medewerker zijn gemaakt. Door deze stap toe te voegen aan de offboarding-checklist voorkomt u het scenario van verloren wachtwoord bij toekomstig vertrek.
Wanneer de beveiligde PDF deel uitmaakt van een groter project of een grotere kwestie, controleer dan de projectbestanden op eventuele documentatie waarin mogelijk naar het wachtwoord wordt verwezen. Aantekeningen bij vergaderingen, e-mailgesprekken en projectwiki's bevatten soms wachtwoordhints of het wachtwoord zelf, vastgelegd door iemand die niet wist dat dit later nodig zou zijn.
Voor organisaties die met een wachtwoord beveiligde PDF's maken als onderdeel van een gereguleerd proces, zoals financiële rapportage of juridische dossiers, moet het proces voor wachtwoordbeheer worden gedocumenteerd in de standaardprocedure. De procedure moet specificeren waar wachtwoorden worden opgeslagen, wie toegang heeft en hoe toegang wordt overgedragen wanneer personeel verandert.
Mochten herstelpogingen mislukken en de PDF-inhoud essentieel is, overweeg dan of de inhoud kan worden gereconstrueerd uit andere bronnen. De pdf is waarschijnlijk gemaakt op basis van andere documenten, spreadsheets, databases of systemen. Het reconstrueren van de inhoud uit deze bronnen kan sneller zijn dan het voortzetten van pogingen tot wachtwoordherstel.
Als de PDF voor een specifieke klant of project is gemaakt, kan het wachtwoord een patroon volgen dat betrekking heeft op die klant of dat project. Klantnamen, projectcodes en zaaknummers zijn veel voorkomende wachtwoordkeuzes in professionele omgevingen.
Diensten voor wachtwoordherstel die gespecialiseerd zijn in PDF-bestanden kunnen proberen het wachtwoord te herstellen met behulp van krachtige hardware en uitgebreide wachtwoordwoordenboeken. Voor eenvoudige wachtwoorden zijn de kosten bescheiden en het slagingspercentage hoog.
De herstelpoging zelf moet worden gedocumenteerd, inclusief de geprobeerde methoden, de data van elke poging en het resultaat. Deze documentatie kan nodig zijn voor auditdoeleinden of om aan te tonen dat er redelijke inspanningen zijn geleverd om toegang te krijgen tot het document.
Enterprise-zoekprogramma's die de inhoud van bestanden en metagegevens indexeren, kunnen soms wachtwoordhints of gerelateerde documenten vinden. Zoek in het documentbeheersysteem van de organisatie naar vermeldingen van de PDF-bestandsnaam, het project waarop het betrekking heeft, of de voormalige werknemersnaam in combinatie met wachtwoordgerelateerde termen.
Wanneer bij een fusie of overname een met een wachtwoord beveiligde PDF wordt ontdekt, kan het wachtwoord zijn ingesteld door iemand bij het overgenomen bedrijf die niet langer bereikbaar is. Het IT-team van het overnemende bedrijf moet wachtwoorddocumentatie opvragen als onderdeel van de checklist voor de overnametransitie.
De meest effectieve preventie voor verloren PDF-wachtwoorden is een eenvoudig organisatiebeleid: PDF-wachtwoorden moeten op het moment van creatie worden opgeslagen in de door de organisatie goedgekeurde wachtwoordbeheerder. Geen uitzonderingen. Het afdwingen van dit beleid voorkomt elk scenario waarbij wachtwoorden verloren gaan.
Voorkomen van toekomstige scenario's voor verloren wachtwoorden
| Herstelmethode | Beste voor | Succespercentage | Benodigde tijd |
|---|---|---|---|
| E-mailarchieven doorzoeken | Recente documenten; bekende afzender | Medium | 30 minuten |
| Controleer wachtwoordbeheer | Organisaties met wachtwoordkluizen | Hoog | 15 minuten |
| Probeer veelgebruikte wachtwoorden | Eenvoudige wachtwoorden ingesteld door individuen | Laag-medium | 1-2 uur |
| Hulpprogramma voor het kraken van wachtwoorden | RC4-gecodeerde PDF's; zwakke wachtwoorden | Medium | Uren tot dagen |
| Zoek het brondocument | PDF gemaakt van een Word/Excel-bestand | Hoog | Varieert |