A Proteção de Informações da Microsoft aplica rótulos de classificação e criptografia a documentos com base em políticas organizacionais. Quando um PDF é protegido pelo MIP e o usuário perde o acesso, seja por saída da organização, licença expirada ou migração de locatário, o arquivo se torna ilegível. Os procedimentos Desbloquear PDF para arquivos protegidos por MIP diferem significativamente da remoção de senha padrão porque a proteção está vinculada a uma identidade do Azure Active Directory em vez de uma senha estática.
A proteção MIP é baseada em servidor. A chave de descriptografia não está incorporada no arquivo. O visualizador de PDF deve autenticar-se junto ao locatário do Azure AD que aplicou a proteção, receber uma licença de uso e usar essa licença para descriptografar o conteúdo. Quando o caminho de autenticação é cortado, o arquivo fica inerte. A restauração do acesso requer a reconexão com o locatário do Azure AD ou a obtenção de uma cópia desprotegida do arquivo.
As ferramentas de desbloqueio PDF Security de WukongPDF abordam a proteção por senha padrão. Para arquivos protegidos por MIP, o caminho de desbloqueio passa pelo ecossistema da Microsoft conforme descrito abaixo.
Como a proteção MIP difere das senhas PDF padrão
Uma senha PDF padrão é uma chave simétrica. Qualquer pessoa que saiba a senha pode descriptografar o arquivo, e a senha pode ser removida por qualquer ferramenta de desbloqueio de PDF que suporte o algoritmo de criptografia. A proteção MIP utiliza encriptação assimétrica gerida pelo Azure AD. O arquivo contém o conteúdo criptografado. O Azure AD contém as chaves de descriptografia. O visualizador de PDF deve entrar em contato com o Azure AD, autenticar o usuário e receber uma licença temporária de descriptografia.
Esta arquitetura significa que a proteção MIP não pode ser removida por ferramentas padrão de desbloqueio de PDF. Não há senha para quebrar. Não há chave estática para extrair. O único caminho de desencriptação passa pelo inquilino AZure AD que aplicou a proteção. Compreender esta diferença fundamental evita perder tempo com ferramentas que não podem ajudar.
A arquitetura baseada em servidor também oferece benefícios de segurança que a proteção por senha não consegue igualar. O acesso pode ser revogado centralmente. O uso pode ser auditado. A proteção pode ser atualizada sem redistribuir o arquivo. Esses benefícios vêm acompanhados do risco de bloqueio abordado neste artigo.
Experimente desbloquear PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.
Método 1: Remover a proteção enquanto o inquilino está ativo
Se a sua conta ainda existir no locatário do Azure AD que protegeu o documento e você tiver direitos para acessá-lo, a remoção da proteção será simples. Abra o arquivo no cliente da Proteção de Informações do Azure, que está disponível como um aplicativo de desktop e como parte do Microsoft 365 Apps. O cliente se autentica no Azure AD, baixa a licença de uso e exibe o conteúdo protegido.
No cliente AIP, selecione Remover proteção na barra de ferramentas ou no menu do botão direito. O cliente solicita uma nova licença de uso que não inclui criptografia. O arquivo é salvo em um estado desprotegido. Esta operação requer que sua conta tenha o direito Remover Proteção na política de proteção, o que a maioria dos usuários faz para documentos aos quais estão autorizados a acessar. Se a opção Remover Proteção estiver esmaecida, a política impede explicitamente a remoção e você precisará entrar em contato com o administrador do locatário.
Para remoção em lote de vários arquivos, o cliente AIP oferece suporte a operações em nível de pasta. Selecione uma pasta de arquivos protegidos, escolha Remover proteção e o cliente processará cada arquivo sequencialmente. A operação em lote usa a mesma autenticação e verificação de direitos que a remoção de arquivo único. O progresso no lote depende dos tamanhos dos arquivos e da latência da rede para o locatário do Azure AD.
Método 2: Usando o Portal de Conformidade do Microsoft 365
Os administradores de locatários podem remover a proteção de arquivos por meio do Centro de Conformidade do Microsoft 365. Navegue até a seção Classificação de dados, encontre o arquivo por nome ou conteúdo e selecione Remover proteção. Esta operação usa privilégios de administrador para ignorar a verificação normal de direitos do usuário. O arquivo é descriptografado e salvo sem proteção.
Este método está disponível apenas para usuários com funções de Administrador Global ou Administrador de Conformidade no locatário. Se você não for um administrador, deverá solicitar que um administrador execute a remoção em seu nome. Forneça o nome exato do arquivo, o local do arquivo no SharePoint ou OneDrive, se aplicável, e a justificativa comercial para remover a proteção.
Os administradores devem verificar o direito do solicitante de acessar o conteúdo desprotegido antes de remover a proteção. O MIP existe para impedir o acesso não autorizado. A substituição administrativa deverá ser documentada com a identidade do solicitante, a justificativa e a data do afastamento. A documentação protege tanto o administrador quanto a organização no caso de uma auditoria.
Método 3: Recuperar o acesso quando o locatário está indisponível
Quando o inquilino AZure AD for eliminado, as chaves de desencriptação armazenadas nesse inquilino são perdidas permanentemente. A documentação da Microsoft afirma explicitamente que a exclusão do locatário remove permanentemente todas as chaves de criptografia associadas. Não há processo de recuperação. Este é o cenário mais grave para arquivos protegidos por MIP. O único caminho de recuperação é localizar uma cópia do arquivo que foi salvo sem proteção antes da exclusão do locatário.
Verifique se há cópias desprotegidas em anexos de e-mail. Alguns clientes de e-mail retiram a proteção MIP dos arquivos anexados ao enviar para destinatários externos. Verifique se há cópias em sistemas de backup anteriores ao aplicativo de proteção MIP. Verifique com colegas que podem ter recebido o arquivo antes da aplicação da proteção ou que podem ter salvo uma cópia desprotegida durante o período em que tiveram acesso.
Se não existir nenhuma cópia desprotegida, o conteúdo do arquivo será efetivamente perdido. Este resultado é um forte argumento para manter uma cópia de arquivo desprotegida de documentos críticos num local seguro e com acesso controlado, separado das cópias de trabalho protegidas pelo MIP. A proteção MIP protege as cópias de trabalho. A cópia de arquivo garante a continuidade dos negócios caso a infraestrutura de proteção falhe.
Prevenção de bloqueio MIP em fluxos de trabalho organizacionais
As organizações que utilizam o MIP devem estabelecer um procedimento de descomissionamento que inclua a liberação da proteção de todos os documentos antes que o locatário do Azure AD seja aposentado. O procedimento deve identificar todos os documentos protegidos, verificar se os usuários autorizados ainda podem acessá-los após a remoção da proteção e concluir a remoção antes do início da exclusão do locatário.
Para usuários individuais, a melhor proteção contra o bloqueio do MIP é salvar uma cópia desprotegida de cada documento crítico em um local de armazenamento pessoal e seguro enquanto o acesso ainda estiver disponível. Esta cópia deve ser protegida por diferentes meios, como uma senha PDF forte, para que não fique completamente desprotegida, mas não dependa do locatário do Azure AD para acesso.
A proteção MIP oferece forte segurança durante o ciclo de vida ativo de um documento. Quando esse ciclo de vida terminar e a infraestrutura de proteção for descontinuada, o documento deverá fazer a transição para uma proteção alternativa ou para um armazenamento de arquivo desprotegido. O planeamento desta transição no momento em que a proteção é aplicada evita cenários de bloqueio.
| Cenário MIP | Desbloquear caminho | Requisitos |
|---|---|---|
| Inquilino ativo do Azure AD | Remova a proteção via cliente ou portal AIP | Conta de usuário válida com direitos de acesso |
| Locatário excluído | Nenhum caminho de recuperação oficial, chaves perdidas | É necessária uma cópia desprotegida pré-existente |
| Acesso offline com credenciais em cache | Abrir arquivo em máquina previamente autorizada | A máquina deve ter sido autorizada antes do bloqueio |
Desbloquear um PDF protegido pela Proteção de Informações da Microsoft requer trabalhar dentro do ecossistema da Microsoft. As ferramentas padrão de desbloqueio de PDF não podem ajudar porque a proteção é baseada em servidor e não em senha. O caminho de desbloqueio passa pelo locatário do Azure AD enquanto ele existe e por cópias de backup quando não existe.
O papel dos superusuários na recuperação do MIP
A Proteção de Informações do Azure dá suporte a um recurso de Superusuário que concede às contas designadas a capacidade de descriptografar qualquer conteúdo protegido por MIP no locatário. Os superusuários podem abrir documentos protegidos, remover a proteção e protegê-los novamente com diferentes configurações. Esse recurso foi projetado para cenários de recuperação legítimos, como saídas de funcionários, retenções legais e migrações de locatários.
Habilite o acesso de superusuário por meio do portal AIP Azure ou do PowerShell. Atribua a função de superusuário a uma conta de recuperação dedicada, em vez de contas de usuário individuais. A conta dedicada existe apenas para fins de recuperação e é rigorosamente controlada. Após uma operação de recuperação, audite a atividade do superusuário para manter a responsabilidade sobre quais documentos foram acessados e por quê.
As organizações que usam MIP devem configurar o acesso de superusuário antes de precisar dele. Configurá-lo de forma reativa durante uma crise de bloqueio corre o risco de atrasos se o administrador com as permissões necessárias não estiver disponível. A configuração proativa de superusuário garante que um caminho de recuperação esteja sempre disponível enquanto o locatário existir.
Migração de documentos protegidos por MIP durante a consolidação de inquilinos
Quando as organizações fundem ou consolidam inquilinos do Azure AD, os documentos protegidos pelo MIP devem ser migrados para a infraestrutura de proteção do novo inquilino. O processo de migração envolve a desencriptação de documentos no inquilino de origem, a transferência dos ficheiros desprotegidos para o inquilino de destino e, opcionalmente, a reaplicação da proteção ao abrigo das políticas do inquilino de destino.
Planeje a migração durante um período em que ambos os locatários estejam operacionais. A janela de migração pode ser estreita, especialmente se o locatário de origem estiver sendo desativado em um cronograma fixo. Priorize documentos de acordo com a criticidade do negócio. Os documentos que são referenciados ativamente em questões jurídicas, financeiras ou regulatórias em andamento devem ser migrados primeiro. Documentos arquivados com menor frequência de acesso podem ser migrados posteriormente ou deixados desprotegidos no arquivo.
Após a migração, teste se os documentos protegidos abrem corretamente usando credenciais de locatário de destino. O teste confirma que a migração foi bem-sucedida antes do inquilino de origem ser desativado. Uma falha no teste após a exclusão do locatário significa perda permanente de dados que não podem ser recuperados por meio de nenhum canal de suporte da Microsoft, portanto, a fase de teste não é opcional, mas essencial.
MIP é um dos vários sistemas de proteção de informações empresariais que vinculam a descriptografia de PDF a um serviço de diretório externo. Os princípios descritos aqui para MIP aplicam-se amplamente a qualquer proteção de PDF baseada em servidor: compreender o caminho de autenticação, usá-lo enquanto ele existir, planejar sua eventual descontinuação e manter backups independentes de conteúdo crítico em um formato que não dependa de nenhuma infraestrutura de fornecedor único para acesso.
A defesa mais confiável contra qualquer cenário de bloqueio de DRM é simples: antes de aplicar a proteção, salve uma cópia desprotegida em um local seguro e com acesso controlado. A cópia protegida cuida da segurança da distribuição. A cópia desprotegida cuida da continuidade dos negócios. Ambos são necessários para uma estratégia completa de proteção de documentos.
Experimente desbloquear PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.