U wilt een PDF delen met twee groepen mensen. Groep A moet tekst kunnen bekijken, afdrukken en kopiëren. Groep B zou alleen mogen kijken. U stelt twee verschillende wachtwoorden in en verzendt het bestand naar beide groepen, in de verwachting dat de PDF verschillende machtigingen afdwingt op basis van het ingevoerde wachtwoord. Dan ontdekt u dat de PDF-specificatie slechts één machtigingswachtwoord per bestand ondersteunt. Iedereen die het document opent met het machtigingswachtwoord krijgt dezelfde set machtigingen, ongeacht wie deze persoon is.
De PDF Wachtwoord-architectuur is ontworpen voor een eenvoudiger tijdperk waarin documenten met één publiek werden gedeeld. Het model met twee wachtwoorden, één open wachtwoord voor bekijken en één machtigingswachtwoord voor bewerken, ondersteunt geen op rollen gebaseerde toegangscontrole met verschillende machtigingsniveaus voor verschillende gebruikers. Als u deze beperking begrijpt, kunt u de juiste beveiligingsaanpak kiezen voor documenten waarvoor gedifferentieerde toegang nodig is.
De wachtwoordbeperking voor enkele machtigingen
Een PDF-bestand bevat precies één set toestemmingsvlaggen: afdrukken toegestaan of niet, tekst kopiëren toegestaan of niet, bewerken toegestaan of niet, enzovoort. Deze vlaggen worden ontgrendeld door een enkel machtigingswachtwoord. Er is geen mechanisme in de PDF-specificatie voor het opslaan van meerdere machtigingensets of meerdere machtigingswachtwoorden. De architectuur is één wachtwoord, één set machtigingen, die uniform wordt toegepast op iedereen die dat wachtwoord invoert.
Deze beperking maakt sinds versie 1.1 deel uit van de PDF-specificatie en is in PDF 2.0 niet veranderd. De normcommissie overwoog het toevoegen van op rollen gebaseerde machtigingen, maar kwam tot de conclusie dat dit de PDF-lezers aanzienlijk complexer zou maken als er niet voldoende vraag van gebruikers naar was. De veronderstelling is dat gedifferentieerde toegang moet worden beheerd op het niveau van de bestandsdistributie, en niet op het niveau van de bestandsbeveiliging.
Het PDF Security-model is ontworpen om een document te beschermen tegen ongeoorloofde toegang en wijziging tijdens verzending en opslag. Het is niet ontworpen om een documentbeheersysteem te vervangen door toegangscontroles op gebruikersniveau. Het herkennen van dit onderscheid helpt realistische verwachtingen te scheppen over wat PDF-wachtwoorden wel en niet kunnen doen.
Tijdelijke oplossingen voor gedifferentieerde toegang
De meest praktische oplossing is om twee versies van de PDF te maken met verschillende machtigingsinstellingen en deze naar de juiste groep te distribueren. De versie voor Groep A beschikt over royale machtigingen voor afdrukken en kopiëren. De versie voor Groep B heeft beperkende rechten waardoor alleen bekijken mogelijk is. Beide versies kunnen binnen enkele seconden vanuit dezelfde bron-PDF worden gemaakt door verschillende toestemmingswachtwoorden in te stellen en als afzonderlijke bestanden op te slaan.
Met WukongPDF kunt u PDF-codering en wachtwoordinstellingen toepassen via de browser. Voor gedifferentieerde toegang maakt u één versie met de juiste rechten voor elke doelgroep. Geef de bestanden een duidelijke naam om aan te geven welke versie voor welke doelgroep is, zoals Report_FullAccess.pdf en Report_ViewOnly.pdf.
Een meer geavanceerde aanpak maakt gebruik van een documentbeheersysteem of een veilig platform voor het delen van bestanden dat machtigingen op gebruikersniveau afdwingt op de toegangslaag in plaats van op de bestandslaag. De PDF zelf heeft geen machtigingswachtwoord. Het platform bepaalt wie het bestand kan bekijken, downloaden, afdrukken of bewerken op basis van hun geverifieerde identiteit. Deze aanpak biedt de gedifferentieerde toegang die de PDF-specificatie ontbeert.
Wanneer meerdere versies de juiste aanpak zijn
Het maken van meerdere versies met verschillende machtigingen werkt goed voor terugkerende distributiescenario's. Een maandelijks financieel rapport dat wordt verspreid onder leidinggevenden met volledige toegang en onder afdelingshoofden met alleen-lezen toegang volgt elke maand hetzelfde patroon. Maak de twee versies één keer, sla de machtigingsinstellingen op als voorinstelling en pas ze elke maand toe. De voortdurende inspanning is minimaal.
Meerdere versies bieden ook een duidelijk auditonderscheid. Als een alleen-lezen-versie van een document ergens verschijnt waar dat niet het geval zou moeten zijn, kunt u traceren welke distributiegroep die versie heeft ontvangen. Deze traceerbaarheid is moeilijker te bereiken met een enkel bestand dat wordt beschermd door een enkel machtigingswachtwoord dat wordt gedeeld met meerdere groepen.
Voor eenmalige distributies waarbij het maken van meerdere versies als overdreven aanvoelt, moet u overwegen of het onderscheid tussen rechten er daadwerkelijk toe doet. Als beide groepen interne collega's zijn die informatie toch mondeling kunnen delen, is het formele toestemmingsverschil wellicht minder belangrijk dan het gemak van één enkel bestand.
Toestemmingsverwachtingen communiceren naar ontvangers
Wanneer u meerdere versies van een PDF met verschillende machtigingen distribueert, communiceer dan duidelijk aan de ontvangers welke versie zij ontvangen en waarom. Een korte opmerking waarin wordt uitgelegd dat er twee versies van het document zijn, één met volledige toegang en één met alleen-lezen toegang, en dat zij de juiste versie ontvangen voor hun rol, voorkomt verwarring en verzoeken om de andere versie.
Als ontvangers in de alleen-lezen-groep de versie met volledige toegang aanvragen, zorg dan voor een proces voor het evalueren en goedkeuren van deze verzoeken. Het onderscheid tussen toestemmingen moet een echte zakelijke behoefte weerspiegelen, en niet een willekeurige classificatie. Ontvangers die een legitieme behoefte aan volledige toegang kunnen aantonen, moeten deze ontvangen via het vastgestelde goedkeuringsproces.
Sommige beveiligde documentplatforms lossen het gedifferentieerde toegangsprobleem op door de PDF in een laag te plaatsen die toegangscontrole op gebruikersniveau biedt. De PDF zelf heeft geen wachtwoorden. Het platform authenticeert elke gebruiker en levert een versie van de PDF met machtigingen die geschikt zijn voor die gebruikersrol. Deze aanpak is flexibeler dan het ingebouwde PDF-wachtwoordmodel.
Information Rights Management (IRM)-systemen van Microsoft en andere leveranciers bieden een extra beschermingslaag. Een met IRM beveiligd document dwingt machtigingen af op basis van de door de gebruiker geverifieerde identiteit, niet op basis van een gedeeld wachtwoord. De machtigingen kunnen beperkingen op het gebied van bekijken, afdrukken, kopiëren en doorsturen omvatten, en kunnen worden ingetrokken nadat het document is gedistribueerd.
Houd bij het kiezen tussen meerdere PDF-versies en een platformgebaseerde aanpak rekening met de technische omgeving van de ontvanger. Meerdere PDF-versies werken voor elke ontvanger met elke PDF-lezer. Platformgebaseerde benaderingen vereisen dat de ontvanger toegang heeft tot het platform. Voor externe ontvangers die mogelijk niet over de vereiste platformtoegang beschikken, zijn meerdere PDF-versies universeel compatibel.
Documenteer de toestemmingsstrategie als onderdeel van de documentdistributierecord. Noteer welke versie naar welke ontvanger is verzonden, welke machtigingen elke versie had en de datum van distributie. Deze documentatie ondersteunt auditvereisten en biedt referentie als er vragen rijzen over wie toegang had tot welke versie.
Het machtigingswachtwoord in PDF is geen geheim in cryptografische zin. Het kan met veel gratis beschikbare tools worden verwijderd. Het machtigingswachtwoord is een verkeersdrempel en geen veiligheidsbarrière. Het voorkomt toevallige wijzigingen, maar verhindert niet dat een vastberaden ontvanger de beperkingen opheft. Het instellen van machtigingen moet gebeuren met deze beperking duidelijk begrepen.
Voor extern delen waarbij u sterke zekerheid nodig heeft dat de ontvanger het document niet kan wijzigen of kopiëren, bieden digitale handtekeningen in combinatie met machtigingswachtwoorden een sterkere oplossing. De digitale handtekening detecteert elke wijziging, en het machtigingswachtwoord maakt gewone wijzigingen lastig. De combinatie is effectiever dan beide benaderingen afzonderlijk.
Wanneer u meerdere versies met verschillende machtigingen maakt, moet u elke versie van een watermerk voorzien om het machtigingsniveau aan te geven. Een versie met het watermerk ALLEEN BEKIJKEN maakt het voor ontvangers duidelijk welke versie ze hebben ontvangen en vermindert het aantal verzoeken om de versie met volledige toegang.
Documentdistributielogboeken moeten vastleggen welke versie naar welke ontvanger is verzonden. Als de alleen-lezen-versie lekt, identificeert het distributielogboek welke ontvangers toegang hadden tot die versie. Deze traceerbaarheid ondersteunt de respons op incidenten en getuigt van due diligence.
Voor zeer gevoelige documenten moet u overwegen of PDF-machtigingen überhaupt voldoende bescherming bieden. Een vastberaden ontvanger kan machtigingswachtwoorden uit een PDF verwijderen met behulp van gratis beschikbare tools. Als de inhoud van het document echt gevoelig is, beperk dan de distributie tot ontvangers die contractueel of wettelijk verplicht zijn de inhoud te beschermen.
Het PDF-machtigingsmodel is het meest geschikt voor eenvoudige scenario's: een document is beperkt of niet. Voor complexe toegangscontrolevereisten biedt een documentbeheersysteem met machtigingen op gebruikersniveau de granulariteit die de PDF-specificatie ontbeert.
Wanneer u PDF's met machtigingswachtwoorden distribueert, test u de machtigingen op een kopie voordat u deze verzendt. Open de kopie, probeer af te drukken, kopieer tekst en bewerk deze. Controleer of de beperkingen werken zoals verwacht voordat het document de ontvanger bereikt.
Het machtigingswachtwoord moet verschillen van het open wachtwoord als beide worden gebruikt. Het gebruik van hetzelfde wachtwoord voor beide ondermijnt het doel van het hebben van twee afzonderlijke wachtwoorden. Het open wachtwoord regelt de toegang en het machtigingswachtwoord regelt het gebruik.
De benadering met machtigingswachtwoorden werkt het beste wanneer de doelgroepgroepen duidelijk gedefinieerd en stabiel zijn in de loop van de tijd. Wanneer het groepslidmaatschap vaak verandert, wordt het onderhouden van meerdere versies lastig. Een documentbeheerplatform met machtigingen op gebruikersniveau past zich gemakkelijker aan aan veranderende groepslidmaatschappen.
Voor documenten die via e-mail worden verspreid, moet u er rekening mee houden dat het doorsturen van e-mail het document naar ontvangers buiten het oorspronkelijke publiek kan sturen. Een machtigingswachtwoord verhindert het doorsturen niet. Het beperkt alleen wat de ontvanger met het document kan doen nadat het het heeft ontvangen.
De beperkingen van PDF-machtigingen moeten duidelijk worden begrepen door iedereen die verantwoordelijk is voor documentbeveiliging. PDF-machtigingen vormen een eerste verdedigingslinie, niet de enige lijn. Ze moeten deel uitmaken van een bredere documentbeveiligingsstrategie die toegangscontrole, het volgen van distributies en overeenkomsten met ontvangers omvat.
Het is onwaarschijnlijk dat de wachtwoordbeperking voor enkele machtigingen van de PDF-specificatie zal veranderen, omdat het formaat in het beveiligingsmodel prioriteit geeft aan eenvoud en brede compatibiliteit boven de rijkdom aan functies.
Voor de meeste organisaties is de praktische aanpak van gedifferentieerde PDF-toegang het maken van afzonderlijke versies voor elk machtigingsniveau en het zorgvuldig beheren van de distributie, in plaats van te proberen machtigingen op gebruikersniveau te verkrijgen binnen één enkel PDF-bestand.
| Aanpak | Hoe het werkt | Voordelen | Cons |
|---|---|---|---|
| Meerdere PDF-versies | Maak één PDF per machtigingsniveau | Werkt met elke PDF-lezer | Meerdere bestanden om te beheren en te distribueren |
| Documentbeheersysteem | Platform dwingt machtigingen per gebruiker af | Gedetailleerde controle; audittraject | Vereist toegang tot het ontvangerplatform |
| Beheer van informatierechten | IRM beschermt bestanden op besturingssysteemniveau | Herroepbaar; sterke bescherming | Vereist IRM-client; complexe opstelling |
| Wachtwoord voor één machtiging | Eén wachtwoord voor alle beperkte gebruikers | Eenvoudigste aanpak | Geen differentiatie op gebruikersniveau |