Wachtwoordbeveiliging en digitale handtekeningen pakken twee totaal verschillende problemen met documentbeveiliging aan, maar toch worden ze vaak besproken alsof ze uitwisselbaar zijn. Een wachtwoord bepaalt wie een bestand kan openen of wijzigen. Een digitale handtekening verifieert wie de inhoud heeft gemaakt of goedgekeurd en of het document sinds de ondertekening is gewijzigd. Door een PDF te beveiligen met zowel een wachtwoord als een Digitale handtekening worden twee onafhankelijke beveiligingslagen gecreëerd: één voor toegangscontrole en één voor authenticiteits- en integriteitsverificatie. Begrijpen hoe u beide correct kunt configureren, is van belang voor contracten, registratie bij de toezichthouders en elk document waarbij ongeoorloofde toegang en geknoei ernstige gevolgen hebben.
Het verschil tussen wachtwoorden en digitale handtekeningen
Een PDF-wachtwoord werkt op bestandstoegangsniveau. Een open wachtwoord codeert het hele document en voorkomt dat het wordt geopend zonder de juiste inloggegevens. Een toestemmingswachtwoord maakt openen mogelijk, maar beperkt bewerken, afdrukken of kopiëren. Beide wachtwoordtypen bepalen wat een ontvanger met het bestand kan doen. Een digitale handtekening werkt op inhoudsniveau. Het past een cryptografische hash toe op de documentinhoud op het moment van ondertekening en sluit een certificaat in dat de ondertekenaar identificeert. Als iemand na ondertekening één byte van het document wijzigt, wordt de handtekening verbroken en geeft de kijker een waarschuwing weer dat het document is gewijzigd sinds het is ondertekend.
Door beide beveiligingen aan één PDF toe te voegen, ontstaat een document dat niet door onbevoegde partijen kan worden geopend en dat niet zonder detectie door geautoriseerde partijen kan worden gewijzigd. Deze combinatie is de standaardpraktijk voor juridische contracten, overheidsdocumenten en financiële overeenkomsten. De PDF Security die het wachtwoord biedt, beantwoordt de vraag wie toegang heeft tot het document, terwijl de digitale handtekening de vraag beantwoordt of het document nog steeds zegt wat het zei toen het werd goedgekeurd.
Pas eerst wachtwoordbeveiliging toe
De volgorde van de bewerkingen is van belang bij het combineren van deze twee beveiligingen. Pas eerst het wachtwoord toe voordat u ondertekent. Een wachtwoordwijziging na ondertekening wijzigt de metagegevens van het document, waardoor de digitale handtekening wordt verbroken. Wanneer u een wachtwoord toepast, kunt u kiezen tussen een open wachtwoord dat invoer vereist voordat het document überhaupt kan worden bekeken, en een toestemmingswachtwoord waarmee u het document kunt bekijken maar verdere acties beperkt. Voor documenten die ook een digitale handtekening bevatten, is een toestemmingswachtwoord meestal voldoende, omdat de handtekening zelf manipulatie afschrikt.
Stel het coderingsniveau in op AES-256, de sterkste optie die beschikbaar is in de PDF-specificatie en wordt ondersteund door alle moderne PDF-viewers. Vermijd de oudere RC4-codering, die kwetsbaar is voor bekende aanvallen en geen zinvolle beveiliging biedt tegen vastberaden pogingen om deze te omzeilen. Gebruik bij het instellen van het wachtwoord een reeks van minimaal twaalf tekens, waarbij u hoofdletters en kleine letters, cijfers en symbolen combineert. Een kort of voorspelbaar wachtwoord ondermijnt zelfs het sterkste versleutelingsalgoritme.
Een digitale handtekening toevoegen na wachtwoordbeveiliging
Als de wachtwoordbeveiliging is ingeschakeld, opent u de beveiligde PDF in een ondertekeningstool die handtekeningen op basis van digitale certificaten ondersteunt. Kies de optie om digitaal te ondertekenen in plaats van een afbeelding van een elektronische handtekening toe te voegen. Tijdens het digitale ondertekeningsproces wordt u gevraagd een digitaal certificaat te selecteren. Als u er niet over beschikt, kunt u een certificaat aanvragen bij een vertrouwde certificeringsinstantie of een zelfondertekend certificaat maken voor intern gebruik. Certificaatautoriteiten verifiëren uw identiteit voordat ze een certificaat uitgeven, waardoor de ontvanger erop kan vertrouwen dat de handtekening werkelijk van u is.
Plaats het handtekeningblok op het document waar ondertekenaars traditioneel een handgeschreven handtekening plaatsen. Het digitale handtekeningblok toont uw naam, de ondertekeningsdatum en de uitgever van het certificaat wanneer de ontvanger het document bekijkt. Configureer de handtekening om het document na ondertekening te vergrendelen, waardoor verdere wijzigingen aan de inhoud, formuliervelden of aantekeningen worden voorkomen zonder de handtekening ongeldig te maken. Deze vergrendelingsoptie is een selectievakje in het ondertekeningsdialoogvenster dat gemakkelijk over het hoofd wordt gezien, maar essentieel is voor een zinvolle integriteitsbescherming.
Beide beveiligingen testen na configuratie
Nadat u zowel het wachtwoord als de digitale handtekening hebt toegepast, test u het document vanuit het perspectief van een beoogde ontvanger. Sluit de PDF volledig en open deze opnieuw. Voordat u inhoud ziet, moet u om het wachtwoord worden gevraagd. Nadat u het juiste wachtwoord hebt ingevoerd, controleert u of het digitale handtekeningpaneel een geldige handtekeningstatus weergeeft, zonder waarschuwingen over wijzigingen. Probeer het document te bewerken met een PDF-editor. De poging moet worden geblokkeerd door het toestemmingswachtwoord of, indien toegestaan, de digitale handtekening onmiddellijk ongeldig maken.
De onderstaande tabel vat samen wat elke beveiligingslaag beschermt en wat niet:
| Beveiligingslaag | Beschermt tegen | Beschermt niet tegen |
|---|---|---|
| Wachtwoord openen | Ongeoorloofd bekijken | Geautoriseerde gebruikers die het wachtwoord delen of inhoud kopiëren na het openen |
| Toestemmingswachtwoord | Redigeren, printen, kopiëren | Screenshot vastleggen of fotograferen van het scherm |
| Digitale handtekening | Ongedetecteerd geknoei met inhoud | De ondertekenaar die een onjuiste of ongeautoriseerde handtekening toepast |
Veilig beheren van het wachtwoord en het certificaat
De sterkte van beide beveiligingen hangt af van hoe goed u de inloggegevens beheert. Bewaar het documentwachtwoord in een wachtwoordbeheerder in plaats van het samen met de pdf te e-mailen of in de hoofdtekst van het bericht te schrijven. Geef het wachtwoord door aan de ontvanger via een apart kanaal, zoals een telefoontje of een sms, zodat een aanvaller die de e-mail van de ontvanger compromitteert, niet automatisch zowel het document als het wachtwoord te pakken krijgt. Voor het digitale certificaat bewaart u de privésleutel in een veilige sleutelopslag, beschermd door een eigen sterk wachtwoord, en deelt u het privésleutelbestand of het bijbehorende wachtwoord nooit met wie dan ook.
Als dezelfde PDF door meerdere partijen moet worden ondertekend, configureert u de handtekeningvelden opeenvolgend in plaats van alle handtekeningen in één sessie toe te passen. Elke ondertekenaar moet het document in de huidige staat bekijken, zijn handtekening plaatsen en het doorgeven aan de volgende ondertekenaar. De eindontvanger kan vervolgens de gehele handtekeningenketen verifiëren. WukongPDF biedt wachtwoordbeveiliging en handtekeninghulpmiddelen in een uniforme interface, die de workflow van het toepassen van beide beveiligingen op één document vereenvoudigt zonder tussen meerdere applicaties te schakelen.
Ondertekende en beveiligde documenten beheren in een teamomgeving
Wanneer meerdere mensen moeten werken met een document dat beide beschermingsmechanismen bevat, stel dan duidelijke procedures op voor wie welke bescherming toepast en in welke volgorde. De digitale handtekening moet altijd de laatste toegepaste bewerking zijn. Als iemand het document na ondertekening bewerkt, wordt de handtekening verbroken. Als iemand na ondertekening het wachtwoord wijzigt, wordt de handtekening verbroken. De ondertekenende partij moet de laatste persoon zijn die het document aanraakt voordat het wordt verspreid.
Voor teamworkflows kunt u overwegen een PDF-tool te gebruiken die handtekeningvelden en wachtwoordsjablonen ondersteunt. Een handtekeningveld reserveert voor elke ondertekenaar een locatie op de pagina en dwingt de ondertekenvolgorde af. Wachtwoordsjablonen slaan de coderingsinstellingen op, zodat hetzelfde beveiligingsniveau consistent wordt toegepast op alle documenten in een project. Door deze instellingen te standaardiseren wordt voorkomen dat de helft van de documenten in een contractpakket één beveiligingsconfiguratie heeft en de andere helft een andere.
WukongPDF biedt zowel wachtwoordbeveiliging als mogelijkheden voor digitale handtekeningen op één platform, wat de workflow van het toepassen van gelaagde beveiliging op PDF-documenten vereenvoudigt zonder te hoeven schakelen tussen afzonderlijke tools voor elk beveiligingstype.
Wanneer u een beveiligde en ondertekende PDF naar een ontvanger verzendt, geeft u het wachtwoord door via een ander kanaal dan de e-mail die het document bezorgt. Door zowel de PDF als het wachtwoord in dezelfde e-mail te verzenden, wordt het doel van wachtwoordbeveiliging tenietgedaan. Een telefoontje, sms of gecodeerde berichten-app zijn allemaal geschikte out-of-band kanalen voor het afleveren van wachtwoorden.
Voor het langdurig bewaren van documenten moet u overwegen of het wachtwoord en het digitale certificaat over jaren nog steeds toegankelijk zullen zijn. Een pdf die is gecodeerd met een wachtwoord dat iedereen is vergeten, gaat feitelijk verloren. Documenteer het wachtwoord in een veilige wachtwoordbeheerder en noteer de vervaldatum van het certificaat in een kalenderherinnering ruim voordat deze vervalt.
Wanneer het ondertekende en beschermde document deel uitmaakt van een indiening bij de regelgevende instanties, verifieer dan de specifieke technische vereisten voordat u deze afrondt. Sommige regelgevende systemen weigeren PDF's met bepaalde coderingstypen of vereisen dat digitale handtekeningen certificaten van specifieke geautoriseerde providers gebruiken. Het SEC EDGAR-systeem en veel e-filingplatforms voor rechtbanken publiceren technische specificaties waarin precies wordt beschreven welke PDF-beveiligingskenmerken worden geaccepteerd en welke automatisch worden afgewezen.
Documenteer de beveiligingsconfiguratie in een begeleidend record dat bij het projectbestand blijft, maar afzonderlijk van de PDF zelf wordt opgeslagen. Noteer het coderingstype, de wachtwoordhint als deze is geconfigureerd, de uitgever van het certificaat, de vervaldatum en de datum waarop de beveiliging is toegepast. Dit record beantwoordt de vragen die onvermijdelijk maanden later rijzen wanneer iemand de authenticiteit van het document moet verifiëren of toegang moet verlenen aan een nieuw teamlid.
Een praktische teststap voordat u een beveiligd en ondertekend document voltooit: open het bestand op een apparaat dat er nog nooit eerder toegang toe heeft gehad en dat geen inloggegevens in de cache heeft. Deze test in een schone omgeving simuleert wat een externe ontvanger zal ervaren en brengt problemen aan het licht die in de cache opgeslagen wachtwoorden of opgeslagen certificaten kunnen maskeren tijdens het testen op uw primaire werkmachine.
Een snelle checklist vóór verzending voor beveiligde en ondertekende documenten: bevestig dat het wachtwoord werkt op een schoon apparaat, controleer of de handtekening geldig is en controleer of alle pagina's correct worden weergegeven na decodering.