使用服务器管理的加密密钥保护 PDF 的企业 DRM 系统可以可靠地运行，同时发行组织仍保持运行并维护其密钥服务器基础设施。当该组织关闭、被另一家公司收购或只是停用 DRM 平台而不迁移其受保护的文档时，其保护的 PDF 将成为永久锁定的数字孤儿。仅存在于已停用的服务器上的加密密钥无法访问，并且与该密钥相关的文档实际上已失效。
基于 DRM 的 PDF 保护与密码保护有何不同
标准 PDF 密码保护将加密密钥直接存储在文件头中，该密钥是使用密钥导出函数从用户提供的密码中数学导出的。一旦提供了正确的密码字符串，该文件本身就包含解密其内容所需的所有内容。相比之下，基于 DRM 的保护仅在 PDF 标头中存储文档标识符和服务器定位符。实际的加密解密密钥仅驻留在由发行组织运营的远程服务器上。
这种依赖于服务器的体系结构会产生受密码保护的文件永远不会遇到的孤立文档问题。任何知道密码的人都可以无限期地解锁受密码保护的 PDF，无论任何外部系统是否在线。一旦指定的密钥服务器停止运行，受 DRM 保护的 PDF 将永久且不可逆转地无法访问。 PDF安全边界从文件本身向外延伸，包括外部服务器基础设施的运行状态和持续存在，这是大多数文档所有者直到服务器消失才完全理解的依赖性。
几个广泛部署的企业 DRM 平台已达到使用寿命，导致大量受保护的 PDF 陷入困境。 Microsoft 权限管理服务保护了企业环境中的无数文档，随着这些老化服务器即将退役，依赖它的组织现在面临着迁移紧急情况。政府机构和金融机构采用 Adobe LiveCycle Rights Management 来保护文档，许多受保护的文档现在比控制其访问的服务器基础设施的寿命更长。
评估是否可以恢复 DRM 锁定的 PDF
可恢复性主要取决于所应用的 DRM 技术的类型以及您可以向密钥持有者或供应商提供哪些合法文档所有权的证据。
| DRM类型 | 关键位置 | 可以恢复吗？ | 方法 |
|---|---|---|---|
| 服务器管理（LiveCycle、RMS） | 退役服务器 | 仅当配置了密钥托管时 | 联系收单公司；检查托管 |
| 基于证书的 (PKI) | 用户智能卡上的证书 | 是，如果证书和密钥可访问 | 使用原始证书重新进行身份验证 |
| 基于插件（FileOpen、LockLizard） | 供应商许可证服务器 | 有时;供应商可能会提供帮助 | 联系供应商并提供所有权证明 |
| 基于密码（标准） | 从文件中的密码派生 | 是的，密码正确 | 标准解锁 PDF工具 |
对于原始组织不再存在的服务器管理 DRM，第一步也是最有效的步骤是识别并联系任何收购了原始实体资产的后继组织。企业并购有时会将 DRM 服务器运营和关键数据库转让给收购公司，作为 IT 资产转让的一部分。密钥管理基础设施可能仍在不同的公司名称和域下运行。
每种 DRM 类型的实用恢复路径
基于证书的 DRM 恢复取决于在颁发基础设施停用之前是否正确备份了证书及其关联的私钥。通过 Active Directory 证书服务、Entrust 或类似 PKI 平台管理证书的组织通常会将证书和私钥存档，作为标准证书生命周期管理的一部分。
来自仍在营业的供应商的基于插件的 DRM 具有最直接的恢复路径：由文档支持的正式支持请求。 FileOpen 和 LockLizard 等供应商为其许可客户维护密钥数据库，并且通常可以重新颁发访问凭据。成功取决于提供购买记录、原始许可组织名称以及锁定文件的样本以证明合法所有权。
对于服务器管理的 DRM（服务器被确认已损坏且不存在托管记录），恢复选项会显着缩小。专业的数据恢复和取证公司为特定平台提供旧版 DRM 删除服务，但成功率因 DRM 版本和尝试投入的资源而异。
防止未来 DRM 锁定
依靠 DRM 保护敏感 PDF 的组织应建立一个关键的托管流程，以应对基础设施变更、员工流动和平台迁移。每个活动解密密钥的离线备份，存储在与操作使用这些密钥的服务器分开的物理安全位置，提供了最终的安全网。
对于打算长期PDF Archive保留期超过当前 DRM 基础设施预期运行寿命的文档，请仔细评估 DRM 是否是适合该用例的保护机制。基于密码的加密具有强大的、独立存储的密码，可提供数学上等效的机密性保护，而不会引入导致孤立文档问题的外部服务器依赖性。
WukongPDF 的解锁工具可处理标准的受密码保护的 PDF，并可协助删除已知打开密码但编辑或打印限制仍然存在的文档的权限。对于受 DRM 保护的文档，最可靠的恢复路径是通过原始发行者或 DRM 平台供应商，并且该工具可以识别给定文档使用哪种类型的保护，以便从一开始就将恢复工作引导到正确的渠道。
围绕 DRM 恢复的法律框架非常复杂且依赖于司法管辖区。在美国，《数字千年版权法》包含反规避条款，一般禁止绕过技术保护措施。但是，存在一些例外情况，包括授权用户对作品的合法访问、出于互操作性目的以及无法再识别或定位版权所有者的废弃软件。尝试恢复自己受 DRM 保护的 PDF 的文档所有者通常属于合法访问例外情况，但具体的法律分析取决于司法管辖区和每个案例的具体情况。
在尝试投入大量资源进行 DRM 恢复之前，请先进行成本效益分析，将恢复成本与锁定文档的价值进行比较。如果锁定的 PDF 包含具有历史意义的记录，其信息价值证明恢复费用合理，请通过供应商或后续组织路径继续尝试恢复。如果这些文档是保留期已过期或其内容可以从其他来源重建的常规业务记录，则接受丢失并更新未来文件的文档保护实践可能是更实际的业务决策。
面临大规模 DRM 迁移场景（需要从已停用的 DRM 平台中释放数百或数千个文档）的组织应与 DRM 供应商或专业迁移服务提供商合作，而不是尝试逐个文档恢复。迁移服务提供商维护特定旧 DRM 平台的工具和专业知识，并且可以批量操作处理大量文档。批量迁移中每个文档的成本通常只是单个文档恢复尝试成本的一小部分。
迁移窗口至关重要。如果您的组织知道 DRM 服务器计划停用，请在服务器离线之前解锁并重新保护所有受影响的文档。这种主动迁移需要准备时间和规划，但与退役后恢复相比基本上不需要任何成本。维护受 DRM 保护的文档的当前清单以及相关许可证和证书到期日期的组织可以在正常业务运营期间规划这些迁移，而不是在紧急服务器关闭期间混乱。
针对敏感 PDF 的最持久的保护策略不依赖于任何单一机制。将文件本身基于强密码的加密与存储位置的访问控制相结合，无论是安全文档管理系统、具有基于身份的访问策略的加密云存储桶，还是气隙本地存储设备。深度防御可确保任何单一保护层的故障（包括 DRM 服务器的停用）不会暴露受保护的文档或使其永久无法访问。
第三方 DRM 恢复服务处于法律灰色地带，在参与之前应谨慎评估。合法服务在接受恢复业务之前需要提供文件所有权证明，包括购买记录、许可协议和公司授权书。承诺在不验证所有权的情况下解锁任何受 DRM 保护的文件的服务在法律范围之外运行，即使您自己的恢复用例是合法的，使用它们也可能使您的组织承担法律责任。在发送任何文件进行恢复处理之前，以书面形式请求并验证服务的所有权验证程序。
成功恢复对 DRM 锁定的 PDF 的访问权限后，立即将其转换为不会造成未来相同锁定风险的保护格式。使用记录且安全存储的密码进行基于强密码的加密可提供同等的机密性保护，而无需依赖外部服务器。将密码存储在密码管理器或安全凭证库中，该库已备份并可供授权人员访问，独立于任何单个服务器或服务。更新组织的文档保护策略，明确要求此转换步骤作为 DRM 恢复过程的一部分，以便恢复的文档不会简单地重新创建导致原始锁定的相同漏洞。
恢复后文档可用于操作连续性和合规性审计目的。记录恢复日期、使用的方法、涉及的任何第三方服务提供商的身份、恢复的文档数量以及应用的新保护格式。将此文档与组织的信息安全记录一起归档。如果恢复的文件受到监管保留要求的约束，或者可能在未来的法律诉讼中被要求，则恢复文件建立了保管链并确认这些文件是原件的真实且未经更改的副本。