Enterprise DRM-systemen beschermen PDF's met codering die is gekoppeld aan een authenticatieserver. Wanneer een medewerker de organisatie verlaat, een softwarelicentie verloopt of de DRM-server zelf buiten gebruik wordt gesteld, worden PDF's die door dat systeem worden beschermd, ontoegankelijk. De bestanden blijven intact, de pagina's zijn er nog steeds, maar de encryptielaag weigert ze te decoderen omdat het authenticatiepad niet meer bestaat. Om deze PDF's te ontgrendelen, moet u door het specifieke DRM-systeem navigeren dat ze beschermt.
In tegenstelling tot eenvoudige wachtwoordbeveiliging, waarbij het wachtwoord de enige barrière is en kan worden verwijderd met een tool Unlock PDF, koppelt enterprise DRM decodering aan een externe autoriteit. Het ontgrendelingsproces omvat het herstellen van het authenticatiepad, het verkrijgen van een offline decoderingssleutel van de DRM-beheerder of het gebruik van een verwijderingstool die de DRM-laag van de PDF verwijdert. Elke aanpak is van toepassing op verschillende scenario's en heeft verschillende juridische implicaties.
De ontgrendelingstools PDF Security van WukongPDF kunnen de standaard op wachtwoorden gebaseerde beveiliging van PDF's verwijderen. Voor zakelijke DRM-systemen omvat het ontgrendelingspad de specifieke stappen die hieronder voor elk belangrijk DRM-platform worden beschreven.
Hoe Enterprise DRM verschilt van standaard wachtwoordbeveiliging
Een standaard PDF-wachtwoord is een symmetrische sleutel die is afgeleid van de wachtwoordreeks. Iedereen die het wachtwoord kent, kan het bestand decoderen. Enterprise DRM maakt gebruik van asymmetrische codering waarbij de decoderingssleutel wordt beheerd door een server en niet door een wachtwoord. De PDF-viewer maakt contact met de DRM-server wanneer het document wordt geopend, authenticeert de gebruiker en ontvangt een tijdelijke decoderingssleutel. De PDF verlaat de DRM-omgeving nooit onbeschermd. Wanneer de DRM-server offline gaat of de toegang van de gebruiker wordt ingetrokken, wordt het decoderingspad verbroken.
Deze architectuur biedt een sterkere beveiliging dan wachtwoordbeveiliging, omdat gecompromitteerde inloggegevens centraal kunnen worden ingetrokken. Het creëert ook een lock-outprobleem wanneer de server buiten gebruik wordt gesteld of de organisatie die de DRM heeft geïmplementeerd, stopt met werken. Een verlopen Enterprise DRM-licentie is geen vergeten wachtwoord. Het is een autorisatie-infrastructuur die niet meer bestaat. Om de PDF te ontgrendelen, moet die infrastructuur worden omzeild of verwijderd.
Adobe LiveCycle Rights Management-pdf's ontgrendelen
Adobe LiveCycle Rights Management, nu onderdeel van Adobe Experience Manager Forms, past serverbeheerd beleid toe op PDF's. Wanneer de beleidsserver buiten gebruik wordt gesteld, zijn de PDF's ontoegankelijk. Als de organisatie nog steeds de LiveCycle-server beheert maar uw toegang is ingetrokken, neemt u contact op met de LiveCycle-beheerder om de verwijdering van het beleid voor uw specifieke documenten aan te vragen. De beheerder kan de LiveCycle-beheerconsole gebruiken om het beleid uit een document te verwijderen en een onbeveiligde kopie terug te sturen.
Als de LiveCycle-server niet langer operationeel is en geen enkele beheerder het beleid kan verwijderen, bestaan er offline decoderingstools die de documentinhoud kunnen extraheren. Deze tools maken gebruik van het feit dat de PDF-lezer toegang moet hebben tot de gedecodeerde inhoud om deze weer te geven. Als u het document kunt openen op een computer die eerder was geautoriseerd, zelfs als deze nu offline is, kunnen de decoderingssleutels nog steeds op die machine in de cache worden opgeslagen. Sommige tools voor het herstellen van PDF-gegevens kunnen gerenderde pagina's extraheren uit de weergavebuffer van de PDF-lezer terwijl het document geopend is.
Microsoft Azure-informatiebeveiliging verwijderen uit PDF's
Microsoft AIP past classificatielabels toe die versleuteling kunnen bevatten. In tegenstelling tot LiveCycle worden de decoderingssleutels beheerd via Azure Active Directory. Als uw account nog steeds bestaat in de Azure AD-tenant die het document heeft beveiligd, kunt u het beveiligingslabel verwijderen via de Azure Information Protection-client of het Microsoft 365-nalevingscentrum. Open het document in de AIP-viewer, selecteer Beveiliging verwijderen en sla een onbeveiligde kopie op.
Als de Azure AD-tenant is verwijderd, wat gebeurt wanneer een organisatie het Microsoft 365-abonnement sluit, gaan de decoderingssleutels die in de tenant zijn opgeslagen permanent verloren. In dit scenario is het enige herstelpad toegang tot een kopie van de PDF die zonder bescherming is geopend en opgeslagen voordat de tenant werd verwijderd. In de documentatie van Microsoft staat dat bij het verwijderen van de tenant alle bijbehorende coderingssleutels permanent worden verwijderd, en dat er geen herstelproces bestaat via Microsoft-ondersteuning.
Contact opnemen met externe DRM-leveranciers
| DRM-type | Hoe het werkt | Aanpak ontgrendelen |
|---|---|---|
| Adobe LiveCycle-rechtenbeheer | Op de server gebaseerde beleidshandhaving vereist authenticatie | Verkrijg beleidsverwijdering via de beheerder of gebruik de offline decoderingstool |
| Microsoft Azure-informatiebescherming | Op classificatie gebaseerde bescherming gekoppeld aan de Azure AD-identiteit | Verwijder de beveiliging via Azure Portal met de juiste machtigingen |
| DRM-plug-in van derden (FileOpen, LockLizard) | Eigen codering, leverancierspecifieke lezer vereist | Neem contact op met de leverancier en zorg voor een bewijs van eigendom van het document |
Voor DRM-systemen van derden, zoals FileOpen of LockLizard, beschikt de leverancier die de DRM-oplossing heeft verkocht over de decoderingsinfrastructuur. Neem contact op met het ondersteuningsteam van de leverancier en zorg voor een bewijs van eigendom van het document. Aanvaardbaar bewijs omvat doorgaans de bestandsnaam van het originele document, de datum waarop het werd beveiligd, de organisatie die de beveiliging heeft toegepast en bewijs dat u bevoegd bent om toegang te krijgen tot de inhoud, zoals een e-mail van de eigenaar van het document of een kopie van de originele licentieovereenkomst.
Leveranciers werken over het algemeen mee bij het verwijderen van DRM uit documenten wanneer de verzoekende partij legitiem eigendom kan aantonen. Het DRM-systeem bestaat om ongeautoriseerde toegang te voorkomen, niet om de documenten van geautoriseerde gebruikers te gijzelen. Het verificatieproces kan enkele werkdagen duren, maar resulteert bijna altijd in toegang tot documenten voor geverifieerde eigenaren.
Enterprise DRM-lock-out is een voorzienbaar gevolg van het vertrouwen op servergebaseerde bescherming. Organisaties die DRM inzetten, moeten een buitenbedrijfstellingsprocedure invoeren waarmee beschermde documenten worden vrijgegeven voordat de DRM-servers offline worden gehaald. Voor personen die met DRM beveiligde PDF's ontvangen, bestaat het ontgrendelingspad, maar moet het ondersteuningsproces van de specifieke leverancier worden doorlopen.
Toekomstige DRM-lock-out voorkomen met een exitstrategie
Organisaties die bedrijfs-DRM voor hun documenten inzetten, moeten een buitenbedrijfstellingsprocedure opstellen als onderdeel van het initiële DRM-implementatieplan. De procedure specificeert hoe beveiligde documenten worden vrijgegeven wanneer het DRM-systeem buiten gebruik wordt gesteld. Zonder een geplande exit kunnen documenteigenaren worden buitengesloten van hun eigen inhoud wanneer de DRM-infrastructuur het einde van zijn levensduur bereikt.
De exitstrategie moet een periodieke audit van beschermde documenten en het bijbehorende beleid omvatten. Controleer ten minste jaarlijks welke documenten nog steeds onder actieve DRM-bescherming vallen en of de beschermende infrastructuur nog steeds wordt onderhouden en gefinancierd. Het beleid van documenten die niet langer actieve bescherming behoeven, moet proactief worden verwijderd en mag niet ontoegankelijk worden wanneer de infrastructuur uiteindelijk wordt afgesloten. Een gedocumenteerde ontmantelingsprocedure transformeert DRM van een potentiële verplichting in een beheerde beveiligingslevenscyclus.
Juridische overwegingen bij het ontgrendelen van met DRM beveiligde PDF's
In de praktijk hangt het wettelijke recht om een met DRM beveiligde PDF te ontgrendelen af van uw relatie tot het document. Als u de eigenaar van het document bent en het DRM-systeem dat uw eigen document beschermt, is verlopen, heeft u een duidelijke wettelijke basis voor het opheffen van de beveiliging. Als u het document van een derde partij heeft ontvangen, is de situatie complexer. In veel rechtsgebieden is het omzeilen van DRM zonder toestemming van de auteursrechthouder een overtreding van de anti-omzeilingswetten.
Voordat u een DRM-verwijderingstool gebruikt, moet u bevestigen dat u het wettelijke recht heeft om zonder bescherming toegang te krijgen tot het document. Arbeidsdocumenten, persoonlijke financiële documenten en documenten die u zelf hebt gemaakt, kunnen over het algemeen veilig worden ontgrendeld. Documenten die zijn ontvangen onder licentieovereenkomsten of abonnementen kunnen contractuele beperkingen hebben die ook na het verlopen van de DRM gelden. Raadpleeg een juridisch adviseur als de eigendoms- of toegangsrechten onduidelijk zijn.
Enterprise DRM dient een legitiem doel tijdens de actieve levenscyclus van een document. Wanneer die levenscyclus eindigt en de DRM-infrastructuur met pensioen gaat, moeten documenteigenaren een duidelijk pad hebben om toegang te krijgen tot hun inhoud zonder de beschermingslaag die zijn doel heeft overleefd. Door de ontmanteling van DRM tijdens de implementatie te plannen, wordt voorkomen dat lock-outscenario's uitmonden in een crisis.
Het ontgrendelingspad voor met DRM beveiligde bedrijfs-PDF's vereist geduld en documentatie. Verkopers hebben een eigendomsbewijs nodig. Beheerders hebben autorisatie nodig. Het proces vindt niet onmiddellijk plaats, maar is vrijwel altijd succesvol wanneer de verzoekende partij legitieme toegangsrechten kan aantonen tot de inhoud achter de DRM-laag.
De ontmanteling van DRM moet vanaf dag één onderdeel zijn van elk DRM-implementatieplan. Wanneer de beveiligingsinfrastructuur met pensioen gaat, verdienen documenteigenaren een duidelijk pad naar hun inhoud. De hier beschreven ontgrendelingsmethoden bieden dat pad voor de belangrijkste DRM-platforms voor ondernemingen, met het juridische voorbehoud dat het documenteigendom moet worden vastgesteld voordat de bescherming wordt verwijderd.