您想要将机密 PDF 发送给客户，并确保只有客户才能打开它。不仅仅是获得密码的任何人。不是任何转发电子邮件的人。仅特定人员在其特定设备上。 PDF 密码模型无法提供这种级别的访问控制。更强的保护需要超越 PDF 内置安全性，转向数字版权管理或安全文档平台。
PDF 规范中内置的PDF 安全模型提供了两种密码：一种用于打开，一种用于权限。两者都不与特定的用户身份或设备绑定。知道密码的任何人都可以在任何设备上打开该文件。对于特定于用户和特定于设备的访问控制，需要额外的安全层。
为什么 PDF 内置安全性无法提供设备级锁定
PDF 密码验证知识、密码，而不是身份、个人或设备。输入正确的密码后，无论谁输入密码或使用什么设备，PDF 都会打开。 PDF 规范中没有用于根据授权列表检查用户身份或根据注册硬件标识符验证设备的机制。
PDF加密在存储和传输过程中保护文件内容。输入密码后，它不会控制访问。当提供正确的密码时，加密的文件将在内存中解密。然后，用户或代表用户的软件可以保存、打印或提取解密的内容。
权限密码限制打开文档后可以执行的操作，但这些限制是由 PDF 查看器软件强制执行的。选择不强制执行限制的查看者，或者使用删除限制的工具的用户，完全绕过了权限模型。
提供用户和设备级访问控制的技术
构建在 PDF 之上的数字版权管理 (DRM) 系统提供了 PDF 规范所缺乏的访问控制。受 DRM 保护的 PDF 使用由许可证服务器管理的密钥进行加密。当用户尝试打开文件时，查看器会联系许可证服务器。服务器验证用户身份，检查设备授权，如果允许，则提供解密密钥。
Microsoft Azure 信息保护和 Adobe LiveCycle Rights Management 是与 PDF 集成的企业 DRM 系统。他们可以限制对特定用户、特定设备、特定 IP 地址或特定时间段的访问。访问策略由 DRM 客户端软件集中管理和执行。
PDF DRM 方法有一个关键限制：它要求接收者安装 DRM 客户端软件。对于可能没有所需软件的外部接收者，DRM 保护为合法访问和未经授权的访问设置了障碍。
设备级锁定的实用替代方案
安全文档门户提供用户级访问控制，无需 DRM 客户端软件。 PDF 存储在安全服务器上。用户通过门户进行身份验证才能查看文档。 PDF 将传输到浏览器以供查看。下载和打印控制由门户强制执行。 PDF 永远不会作为文件离开受控环境。
WukongPDF 提供基于浏览器的PDF 安全 本地处理文档的工具。为了获得最高的安全性，文件的处理无需离开用户设备，从而消除了服务器端数据暴露的风险。
为 PDF 访问控制设定切合实际的期望
PDF 密码为与受信任方共享的文档提供了基本级别的保护。它们可以防止随意的未经授权的访问。设备级和用户级访问控制需要 PDF 规范之外的其他技术。了解这种区别有助于为文档敏感性和收件人技术环境选择正确的安全方法。
对于特定组之外不得访问的文档，最可靠的控制是将文档保存在受控系统、文档门户、虚拟数据室或安全文件共享平台内，在系统级别而不是文件级别管理身份验证和访问。
PDF 内置安全性和外部 DRM 之间的区别对于评估文档保护选项的组织非常重要。 PDF 密码可保护传输中和静态的文件。 DRM 在文件的整个生命周期中保护文件，包括在打开和解密文件之后。
提供用户级访问控制的安全文档平台通常包括访问限制之外的附加功能：文档使用分析显示谁打开了文档以及何时打开文档，即使在下载文档后也可以远程撤销访问权限，以及个性化文档每个视图的动态水印。
受 DRM 保护的 PDF 的用户体验是一个重要的考虑因素。由于缺乏所需的 DRM 客户端软件而无法打开文档的收件人可能会选择与其他供应商合作，以简化文档访问。必须权衡 DRM 的安全优势与访问摩擦的业务成本。
对于组织内的内部文档保护，现有的身份基础架构（例如 Active Directory 或单点登录）可以与文档访问控制集成。通过公司网络身份验证的员工将自动获得授权，可以打开适合其角色的文档。
文档访问限制的法律可执行性与技术可执行性是分开的。标记为机密并受点击访问协议保护的文档会给收件人带来法律义务，无论是否可以绕过技术保护。
最有效的文档保护策略结合了技术控制、法律协议和接受者教育。了解其保密义务、已书面同意并面临未经授权共享的技术障碍的接收者受到三层防御的保护。
在评估文档保护选项时，请与实际受众中的代表收件人一起测试该解决方案。对于托管设备上的内部用户来说顺利运行的解决方案可能会给个人设备上的外部用户带来难以克服的障碍。
PDF 内置安全性可以提供的功能与组织所需的设备级访问控制之间的差距可以通过补充技术来填补，这些技术将身份和设备感知添加到文档保护中。
选择正确的文档保护级别需要对威胁进行诚实的评估：谁可能访问文档、会造成什么损害以及可接受的访问摩擦级别。
Microsoft Azure 信息保护与 Active Directory 集成，使用现有的组织身份基础架构将用户和设备级访问策略应用于 PDF。
Adobe LiveCycle Rights Management 通过 Adobe 生态系统提供类似的功能，并通过策略限制对特定用户、IP 地址、时间窗口和设备类型的访问。
应在部署之前测试受 DRM 保护的 PDF 的收件人体验，因为内部用户可以接受的访问摩擦可能对外部客户和合作伙伴来说是不可接受的。
DRM 部署的成本不仅包括软件许可，还包括用户支持负担，因为无法打开受保护文档的收件人将需要帮助。
对于大多数文档共享场景，具有经过身份验证的访问但没有 DRM 客户端软件的安全文档门户可提供安全性和可用性的最佳平衡。
身份验证（验证用户是谁）与授权（确定用户可以执行哪些操作）之间的区别对于理解 PDF 内置密码无法提供设备级访问控制的原因至关重要。
公钥基础设施可用于 PDF 安全，方法是使用接收方公钥对文档进行加密，确保只有相应私钥的持有者才能对其进行解密。
硬件安全模块和智能卡可以存储用于 PDF 解密的私钥，提供硬件级别的保证，确保密钥无法在未经授权的设备上提取和使用。
强大的 PDF 保护的可用性必须与合法收件人无法访问文档的风险相平衡，这可能会导致业务中断。
用于并购的虚拟数据室提供文档级访问控制和完整的审计跟踪，包括谁查看了每个文档以及查看了多长时间。
文件保护的法律框架包括保密协议，这些协议规定了独立于应用于文件的技术保护措施的法律义务。
某些 DRM 系统中的远程擦除功能允许文档所有者即使在加密文件已下载到接收设备后也可以撤销访问权限。
屏幕捕获防护是某些 DRM 系统的一项功能，它试图阻止接收者通过屏幕捕获或摄影创建不受保护的副本。
文档保护的成本效益分析应考虑受保护信息的价值以及保护技术的成本和复杂性。
对于大多数组织来说，结合访问控制门户、用户身份验证和审核日志记录的分层方法可提供足够的文档安全性，而无需复杂的 DRM。
了解 PDF 格式的安全功能和限制有助于组织为其文档选择适当的保护策略。
实施设备级文档访问控制的决定应基于对威胁和受保护信息的价值的现实评估。
了解 PDF 文档的安全模型有助于组织就文档保护策略做出明智的决策。
适当的文档保护级别取决于内容的敏感性和分发环境的威胁模型。
设备级文档安全性将保护范围从文件本身扩展到访问文件的环境。
适当的安全方法取决于每个文档分发场景的具体威胁和要求。
| 防护等级 | 技术 | 用户体验 | 最适合 |
|---|---|---|---|
| PDF密码 | 内置 PDF 安全性 | 简单的;输入密码即可打开 | 值得信赖的收件人；休闲防护 |
| DRM（AIP/RMS） | 企业权限管理 | 缓和;需要客户端软件 | 托管设备上的内部用户 |
| 安全门户 | 基于 Web 的身份验证访问 | 好的;任何浏览器；无需客户 | 外部共享；混合观众 |
| 硬件令牌+PKI | 证书+智能卡 | 复杂的;需要硬件 | 高安全性政府/国防 |