基於密碼的 PDF 加密透過共享秘密來保護文件。知道密碼的任何人都可以開啟該檔案。任何不這樣做的人都不能。基於憑證的加密以加密身分取代共享秘密。文件創建者不是將密碼分發給每個授權收件人，而是指定允許哪些數位證書開啟該文件。每個收件者都使用自己的私鑰（儲存在其裝置或硬體令牌上）來解密文件。基於憑證的加密提供的PDF安全性根本上比基於密碼的加密更強，因為沒有可洩露的共享秘密，並且可以透過從授權清單中刪除憑證來撤銷存取。
基於證書的 PDF 加密的工作原理
當您使用基於憑證的保護加密 PDF 時，PDF 建立軟體會產生隨機對稱加密金鑰，就像基於密碼的加密一樣。此對稱密鑰會對文檔內容進行加密。不同之處在於對稱金鑰本身的保護方式。在基於密碼的加密中，對稱金鑰使用從密碼派生的金鑰進行加密。在基於憑證的加密中，對稱金鑰使用每個授權接收者憑證的公鑰單獨加密。加密的對稱金鑰與加密的內容一起儲存在 PDF 中。
當授權收件者開啟 PDF 時，他們的 PDF 檢視器會找到使用其公鑰加密的加密對稱金鑰。檢視者使用接收者私鑰解密對稱金鑰，然後使用對稱金鑰解密文件內容。憑證不在授權清單中的接收者在檔案中沒有其私鑰可以解密的加密對稱金鑰。該文檔不會為他們開啟。此PDF加密機制提供細粒度的存取控制。每個收件者都經過單獨授權，刪除收件者意味著建立 PDF 的新版本，而無需為其憑證加密對稱金鑰。
取得和管理加密證書
每個接收者都需要一個帶有公鑰和私鑰對的數位憑證。該憑證可以是自簽署的，由收件者使用 OpenSSL 或 Adobe Acrobat 等工俱生成，也可以由受信任的憑證授權單位頒發。自簽名證書可用於參與者相互了解和信任的內部文件保護。憑證授權單位所核發的憑證可提供更強的身分保證，適用於必須獨立驗證接收者身分的外部通訊。
加密之前，從所有預期接收者收集公共憑證。每位收件者將其憑證匯出為 .cer 或 .p7b 檔案並將其傳送給文件建立者。創建者將這些證書匯入到其係統證書儲存中。在使用每個憑證加密文件之前，請先驗證每個憑證是否有效、未過期且屬於預期收件者。在需要該文件之前過期的憑證將鎖定收件者。在文件加密步驟之前檢查到期日期並規劃憑證續約。
使用基於憑證的安全性加密 PDF
在支援基於憑證的加密的工具中開啟 PDF。 Adobe Acrobat Pro 在安全性屬性下提供了此功能。選擇證書安全作為安全方法。此工具顯示系統憑證儲存中的憑證清單。選擇所有授權收件者的證書。對於每個收件人，您可以設定單獨的權限。一位收件人可能被授予完全編輯權。另一種可能僅限於檢視和列印。
選擇加密演算法。 AES-256 是 PDF 規範支援的最強選項，所有現代文件都應選擇它。避免使用 RC4 加密，該加密已被棄用並且容易受到攻擊。配置每個收件者的文檔權限。典型配置授予主要收件者完全存取權限，並僅授予次要收件者檢視和列印存取權限。 WukongPDF 在基於瀏覽器的介面中提供基於憑證的PDF 安全性 加密，無需安裝桌面軟體即可存取工作流程。
分發加密文檔
加密的 PDF 可以透過任何管道分發，包括電子郵件、共享網路驅動器和雲端儲存鏈接，因為加密嵌入在文件中。該文件不需要透過安全通道傳輸。只有擁有授權證書的收件者才能開啟它。將加密的 PDF 傳送給所有收件人。每個收件者都使用 PDF 檢視器開啟文件，該檢視器會自動找到相符的憑證並解密文件。
接收者的體驗是透明的。沒有密碼提示。檢視者識別收件人證書並開啟文檔，無需任何其他輸入。這既是基於憑證的加密的優點，也是其限制。它很強大，因為無需忘記、分享或攔截密碼。它受到限制，因為收件者必須在開啟 PDF 的裝置上安裝憑證。變更電腦且未傳輸憑證的收件者在重新安裝憑證之前無法開啟文件。
管理憑證過期和吊銷
基於證書的加密取決於證書的有效性。過期的憑證無法用於解密 PDF，即使在加密文件時憑證有效。日曆證書到期日期，並在舊證書到期之前使用更新的收件人證書重新加密關鍵文件。證書頒發機構所核發的證書也可以撤銷。如果收件者憑證被頒發機構撤銷，則該收件者將無法再開啟為該憑證加密的文件。
與密碼可以共享的基於密碼的保護不同，基於憑證的保護將存取憑證私鑰連結起來，這永遠不應該離開收件人的控制。接收者無法透過共享憑證私鑰將其存取權限轉發給其他人而不損害自己的數位身分。此屬性使基於憑證的加密成為存取必須與經過驗證的個人身分相關聯的文件的首選方法。
結合證書和密碼保護
為了獲得最強大的保護，請套用基於憑證的加密和權限密碼。證書控制誰可以開啟文件。權限密碼限制了授權接收者在開啟後可以對其進行的操作。收件人可能被授權開啟文檔，但被限制列印、編輯或複製文字。這種分層方法解決了以下場景：信任收件者可以閱讀文檔，但不能修改或重新分發文檔。
保護 PDF 機制、基於憑證的存取控制和基於權限的使用限制相結合，提供深度防禦。以某種方式獲得對收件者憑證的存取權限的攻擊者仍然必須突破權限限制才能修改文件。以某種方式繞過權限限制的攻擊者在沒有授權憑證的情況下仍然無法開啟文件。
基於證書的加密是身份驗證至關重要的行業中保護文件的標準方法。國防承包商、金融機構和醫療機構使用基於證書的 PDF 加密來確保只有經過驗證的個人才能存取敏感文件。
管理憑證的管理開銷是這種方法的主要缺點。每個接收者都必須取得憑證、保護其私鑰並管理憑證續約。對於一小群受信任的收件者來說，這種開銷是可以管理的。對於大型或經常更改的收件者列表，管理負擔可能超過安全優勢。
當收件者離開組織或應撤銷其存取權限時，請建立 PDF 的新版本，而其憑證不在授權清單中。他們仍然可以使用現有證書打開舊版本，並且仍然可以訪問。基於憑證的加密控制對新版本文件的訪問，而不是對已分發的副本的存取。
基於憑證的加密提供的PDF安全性代表了在組織外部分發的PDF文件可用的最強大的實際保護。它將存取權限與經過驗證的身份聯繫起來，而不是與共享秘密聯繫起來。
規劃基於憑證的加密部署時，請從由幾位收件者組成的試點群組開始。端對端測試證書收集、加密、分發和收件者存取工作流程。在推廣到完整收件者清單之前，先小規模解決所有問題。
本文介紹了在此特定場景中處理 PDF 的關鍵技術和注意事項。這裡描述的方法適用於不同的工具和平台，使讀者可以靈活地選擇最適合其工作流程和技術環境的方法。
概述的實際步驟提供了從最初的挑戰到可行的解決方案的清晰路徑。每種技術都因其可靠性和可訪問性而被選擇，以確保讀者無論以前使用 PDF 工具的經驗如何，都可以獲得一致的結果。
對於需要與經過驗證的外部收件者共用敏感文件的組織，建議使用基於憑證的加密方法。它提供比密碼保護更強的安全性和更好的收件者體驗。
證書收集和管理的初始設定比設定密碼需要更多時間，但持續的安全優勢證明對需要強大的基於身分的存取控制的文件的投資是值得的。
本文中描述的工具和技術提供了從最初的問題到可應用於各種文件和場景的工作解決方案的實用路徑。
對於優先考慮文件安全的組織來說，基於憑證的加密可提供 PDF 格式規格中最強大的實用保護。
如果正確實施，基於憑證的加密可以為必須與原始組織之外的特定、經過驗證的收件者共用的 PDF 文件提供安全性和可用性之間的最強平衡。