Come mettere o togliere la password a un PDF

La sicurezza dei PDF sono due cose diverse con lo stesso nome, e confonderle è il motivo per cui le persone si stupiscono di ciò che gli strumenti possono e non possono fare. La prima è la password utente, necessaria per aprire il documento: senza di essa il contenuto del file sono byte cifrati e nulla può leggerlo. La seconda è la password proprietario, detta anche password dei permessi, che lascia il documento leggibile a chiunque ma lo marca come non stampabile, non copiabile o non modificabile. La prima è vera crittografia. La seconda è una richiesta che i lettori dovrebbero rispettare. Sapere quale delle due protegge il vostro file dice subito cosa è possibile.

Mettere una password che protegge davvero

Quando impostate una password utente, i flussi del documento — testo, immagini, font incorporati — vengono cifrati con una chiave derivata da quella password. I PDF moderni usano AES con chiave a 256 bit, e la conseguenza pratica è che una password persa è un documento perso. Non c'è recupero, non c'è link di reimpostazione, non c'è assistenza da chiamare; l'unica via di ritorno è indovinare, e contro una passphrase decente non è una via. Trattate la cifratura di un PDF come trattereste la cifratura di un disco: scegliete qualcosa che sappiate riprodurre, conservatelo in un posto duraturo e comunicatelo al destinatario su un canale diverso dal file. Mandare l'allegato cifrato e la password nello stesso scambio di e-mail non protegge da nulla, tranne che da un errore in buona fede.

A cosa serve la password proprietario

Una password proprietario non cifra nulla di significativo. Il documento si apre per tutti; i flag dicono soltanto a un lettore ubbidiente di disattivare il pulsante di stampa o di rifiutare la copia. Qualsiasi libreria PDF seria sa leggere e riscrivere quei flag, ed è per questo che gli strumenti che offrono di rimuovere le restrizioni di stampa funzionano all'istante e senza chiedervi nulla. Non è un trucco né una sconfitta della cifratura: il file non è mai stato protetto in quel senso. Se l'intenzione è davvero impedire che un documento venga stampato o estratto, il PDF è il contenitore sbagliato e serve un sistema di diritti lato lettore. Se l'intenzione è segnalare che un modulo non va modificato, la password proprietario è un segnale ragionevole e onesto; nulla di più.

File vecchi, cifratura debole

Non tutti i PDF cifrati sono protetti allo stesso modo, e la differenza è l'anno in cui il file è stato creato. Il primo schema usava RC4 con chiave a quaranta bit, una scelta difendibile alla fine degli anni novanta e oggi banalmente violabile da chiunque abbia un portatile; poi è arrivata una revisione RC4 a 128 bit e solo più tardi AES, prima a 128 e poi a 256 bit. Un documento prodotto da un vecchio scanner, da un vecchio gestionale di contabilità o da una suite per ufficio lasciata sulle impostazioni ereditate può usare ancora il più debole di questi, e il proprietario crederà ragionevolmente di essere protetto, perché il lettore chiede la password esattamente allo stesso modo. Se proteggete qualcosa che conta, verificate cosa applica davvero il vostro software invece di darlo per scontato, e se vi offre un'impostazione di compatibilità con i lettori vecchi, sappiate che la compatibilità offerta è con l'algoritmo debole. Ricifrare un archivio vecchio con uno strumento attuale è un miglioramento reale di sicurezza anche a password invariata, e costa un solo passaggio per file.

Togliere una password che già conoscete

Il caso legittimo e di gran lunga più frequente è un file vostro che arriva cifrato — un estratto conto bloccato dal codice fiscale, una busta paga bloccata dalla data di nascita — e che dovete archiviare, cercare o inoltrare senza digitare una password ogni volta. Qui l'operazione è semplice: fornite la password, lo strumento decifra i flussi e scrive un nuovo PDF senza dizionario di cifratura. Il contenuto non cambia; cambia solo l'involucro. Il nostro strumento fa esattamente questo e nient'altro. Non indovina, non tenta recuperi e rifiuta il file se la password è sbagliata, che è il comportamento corretto e anche il motivo per cui il messaggio di errore conta: «password non valida» e «questo non è un PDF» sono problemi completamente diversi, e uno strumento che li confonde vi fa perdere il pomeriggio.

Perché i servizi di sblocco sono la risposta sbagliata

I risultati di ricerca sono pieni di servizi che promettono di aprire qualsiasi file. Contro una password proprietario dicono il vero e fanno una cosa banale. Contro una password utente ben scelta vendono forza bruta, che con AES-256 non è questione di aspettare di più: non finirà. Dove riescono davvero è contro password brevi e strutturate: una data a sei cifre, un PIN a quattro, un numero cliente. Vale la pena saperlo in entrambe le direzioni. Dovrebbe rendervi scettici verso i servizi di sblocco e dovrebbe farvi pensare due volte prima di proteggere un documento davvero sensibile con la vostra data di nascita, che è esattamente la prima password che prova un attaccante.

Dove finisce il file conta

Qualsiasi operazione su un PDF cifrato comporta consegnare insieme il documento e la sua password. Quando questo avviene su un server remoto, in quell'istante avete dato a un terzo una copia in chiaro di un documento che ritenevate abbastanza delicato da cifrarlo, più la chiave. Se sia accettabile dipende dal documento: per una bolletta bloccata, probabilmente sì; per un referto medico o un contratto, probabilmente no. Eseguire l'operazione dentro il vostro browser elimina del tutto la domanda, perché né il file né la password lasciano la scheda. È uno dei pochi casi in cui il luogo di elaborazione non è marketing ma una differenza sostanziale di esposizione.

Una breve lista di controllo

Prima di cifrare: decidete chi dovrà aprire questo documento tra due anni e se avrà ancora la password. Usate una passphrase invece di un numero personale e trasmettetela separatamente. Prima di decifrare: accertatevi di avere un diritto legittimo sul documento — l'operazione è banale da eseguire, ed è proprio per questo che la responsabilità è vostra e non dello strumento. E dopo l'una o l'altra operazione aprite il risultato e guardate una pagina centrale, perché un file che si apre a pagina uno non ha dimostrato che il resto sia sopravvissuto.