基於密碼的 PDF 保護可以很好地阻止臨時檢視者，但它有一個根本弱點：任何知道密碼的人都可以在任何裝置上開啟該檔案。如果密碼被分享、轉送或猜測，保護就會消失。對於包含商業機密、併購詳細資料、財務預測或受資料駐留法管轄的個人識別資訊的文檔，僅僅知道密碼還不夠。該文件只能在已明確授權的裝置上打開，並且授權應與不能像文字字串那樣輕鬆共享的加密憑證綁定。
基於憑證的 PDF 加密透過公鑰加密取代共享密碼來解決此限制。該文件使用數位憑證中接收者的公鑰進行加密，並且只能使用相應的私鑰進行解密，該私鑰儲存在接收者的裝置上，通常儲存在硬體安全模組或安全金鑰庫中。用戶永遠不會看到或鍵入密碼。他們只需打開文件，PDF 閱讀器就會使用可用的憑證透明地協商解密。這種方法提供了比基於密碼的方法更高級別的存取控制，因為憑證的擁有與特定設備或硬體令牌相關，而不是與共享秘密的知識相關。
基於憑證的 PDF 加密的工作原理
當您使用基於憑證的安全性保護 PDF檔案時，PDF 編寫器會使用隨機產生的對稱金鑰（通常為 AES-256）加密文件的內容。然後使用接收者數位憑證中的公鑰為每個授權接收者單獨加密該對稱金鑰。加密的對稱金鑰與加密的內容一起儲存在 PDF 的加密字典中。當授權收件者開啟檔案時，他們的 PDF 閱讀器會找到與其憑證相符的加密對稱金鑰，使用其私密金鑰對其進行解密，然後使用復原的對稱金鑰來解密文件內容。
2025 年文件安全實務報告發現，儘管安全審核員將憑證加密文件評為比基於密碼的加密安全得多（Adobe，“文件雲端安全報告”，2025 年），但證書加密文件僅佔所有加密 PDF 的 8%。採用率差距很大程度上是由於管理憑證的複雜性造成的，但現代 PDF 工具已將流程簡化到不比設定電子郵件加密更困難。該系統核心的非對稱加密意味著即使加密的 PDF 被截獲，攻擊者在沒有存取授權裝置上的私鑰的情況下也無法解密它。
設定基於憑證的保護：您需要
要加密 PDF 以進行基於證書的訪問，您需要收件人的數位證書，其中包含其公鑰。該憑證必須是包含加密金鑰使用擴充功能的 X.509 憑證。大多數組織透過其 IT 部門或透過託管 PKI（公鑰基礎設施）服務向員工頒發這些憑證。個人專業人員可以從公共證書頒發機構（例如 DigiCert、GlobalSign 或 Sectigo）取得個人證書，通常採用也支援加密的文件簽署證書的形式。
您還需要一個支援基於憑證的加密的 PDF 工具。並非所有 PDF 編輯器都包含此功能。它是 Adobe Acrobat Pro 和多個企業文件管理平台的標準配置，但大多數消費級和免費 PDF 工具都沒有它。如果您的組織定期處理應受裝置限制的敏感文檔，請在將其建置到工作流程之前驗證您選擇的 PDF 平台是否包含憑證加密。您用於簽署文件的數位簽章憑證通常可以作為您的加密憑證發揮雙重作用，前提是它是與資料加密的金鑰使用擴充功能一起頒發的。
新增和管理授權收件人
使用基於憑證的安全性加密 PDF 時，您可以透過選擇授權收件者的數位憑證來指定他們的清單。每個選定的憑證都允許一位收件人（或更準確地說，一位私鑰持有者）開啟該文件。您也可以為每個收件者設定不同的權限等級。例如，一個收件者可能擁有檢視、編輯和列印文件的完全權限，而另一個收件者只能檢視和列印。這些權限由 PDF 閱讀器而不是檔案系統強制執行，因此無論文件儲存或轉發到何處，它們都會隨文件一起移動。
如果沒有集中目錄，管理跨多個文件的大量收件者清單將是一項挑戰。企業環境通常使用 LDAP 或 Active Directory 集成，讓您可以直接從加密對話方塊中按使用者名稱或電子郵件地址搜尋證書。如果您的組織沒有此集成，請維護一個共享證書存儲，在續訂或吊銷證書時，在其中發布和更新員工的當前證書。任何對內部分發的文檔進行加密的人都應該可以訪問此存儲，並且只要員工的證書發生更改，就應該更新該存儲。
憑證過期或被撤銷時會發生什麼
數位證書有一個有效期限，通常是自頒發之日起一到三年。當用於 PDF 加密的憑證過期時，對應的私鑰不會停止運作。憑證已過期的接收者只要仍然擁有私鑰，仍然可以開啟在過期日期之前加密的文件。到期日期會影響憑證是否被視為有效以建立信任，但不會停用解密功能。
證書吊銷是一種不同的情況。如果憑證被吊銷，例如因為員工離開組織或私鑰而洩露，則接收者應該不再能夠使用該憑證。然而，離線PDF加密沒有即時機制來檢查撤銷狀態。撤銷檢查取決於 PDF 閱讀器的配置以及是否已配置為諮詢 CRL（憑證撤銷清單）或 OCSP（線上憑證狀態協定）回應程序。如果閱讀器處於離線狀態或設定為跳過撤銷檢查，則撤銷的憑證仍可用於開啟先前加密的文件。因此，對於撤銷後存取是關鍵問題的文檔，基於憑證的加密應與其他控制相結合，例如文檔過期或資訊權限管理層。
基於憑證與基於密碼：何時使用
基於密碼的加密適用於在受信任的群組內共享的文檔，其中可以透過單獨的管道（例如電話或加密的訊息應用程式）傳達密碼。它簡單、普遍支持，也不要求接收者擁有數位憑證。當文件的敏感度需要設備級存取控制、文件必須對不同的收件人具有不同的權限等級時，或者當組織需要審計追蹤用於加密每個文件的證書作為存取控制的證據時，基於證書的加密是正確的選擇。
為了獲得最高等級的保護，一些組織結合了這兩種方法。 PDF 使用基於憑證的安全性為主要授權收件者進行加密，並設定單獨的密碼作為儲存在安全託管中的備份存取方法。此方法提供了對證書加密的強大存取控制，並提供了記錄的復原路徑，以防證書遺失或收件人不可用。託管密碼應儲存在單獨的存取控制系統中，例如特權存取管理庫，並具有存取日誌記錄和批准要求。
證書加密問題故障排除
收件人遇到的最常見問題是他們的 PDF 閱讀器報告找不到匹配的數位身分證。這意味著讀者搜尋了系統的證書存儲，包括 Windows 證書存儲、macOS 鑰匙串和 Adobe 數位 ID 存儲，並沒有找到與 PDF 加密字典中任何加密對稱密鑰相符的證書。 PDF 安全性模型要求用於加密的憑證和可用於解密的憑證之間完全符合。解決方法是將正確的憑證匯入讀者搜尋的儲存之一。如果收件者的憑證在 PDF 加密後已續訂，則新憑證可能具有不同的公鑰，且收件者需要找到與加密期間使用的金鑰相符的舊憑證。
第二個問題是收件人可以開啟文件，但某些操作（例如列印或編輯）被阻止。這意味著加密配置了該收件者的受限權限。寄件者必須使用收件者所需的權限等級重新加密文件。權限是在加密時設定的，如果不重新加密整個文件則無法變更。當 PDF 在根本不支援基於憑證的加密的閱讀器中開啟時，會出現第三個問題。許多基於瀏覽器的 PDF 檢視器、行動 PDF 應用程式和輕量級桌面閱讀器僅支援基於密碼的安全性。無法開啟憑證加密 PDF 的收件者應嘗試在 Adobe Acrobat Reader DC 或其他明確將基於憑證的安全性列為支援功能的閱讀器中開啟它。 WukongPDF 支援基於憑證的加密，並在找不到憑證時提供清晰的回饋，包括預期的確切憑證序號，以便收件者可以找到正確的憑證。在加密重要文件之前驗證閱讀器相容性可以防止預期收件人無法開啟文件的情況。