How to Password Protect a PDF (And Why Most People Do It Wrong)

Le mardi dernier, j'ai vu le visage d'une conseillère juridique d'une entreprise du Fortune 500 pâlir alors que je lui montrais comment j'avais réussi à ouvrir ses documents de fusion "confidentiels" en moins de 90 secondes. Elle avait protégé par mot de passe le PDF avant de l'envoyer au conseil d'administration. Elle avait utilisé un mot de passe de 12 caractères. Elle avait même appelé chaque membre du conseil pour partager le mot de passe verbalement. Et pourtant, j'étais assis là avec un accès complet à des documents qui auraient pu faire échouer une affaire à 2,3 milliards de dollars.

Je suis Sarah Chen, et j'ai passé 14 ans en tant que consultante en criminalistique numérique spécialisée dans les violations de sécurité des documents. J'ai été engagée par des cabinets d'avocats, des systèmes de santé et des institutions financières pour tester leurs protocoles de protection des documents - et j'ai contourné avec succès des PDF "sécurisés" dans 94 % des cas. Le problème n'est pas que les gens ne protègent pas par mot de passe leurs PDF. C'est qu'ils ne comprennent pas fondamentalement ce que la protection par mot de passe d'un PDF fait réellement, quels sont les méthodes de cryptage qui comptent, et comment pensent les attaquants.

Ce n'est pas un autre tutoriel générique vous disant de cliquer sur "Protéger le Document" dans Adobe Acrobat. C'est la vérité gênante sur la sécurité des PDF de quelqu'un qui la contourne pour vivre, ainsi que les techniques spécifiques qui fonctionnent réellement lorsque la protection des informations sensibles est importante.

Les Deux Types de Protection PDF (Et Pourquoi L'un Est Fondamentalement Inutile)

Voici ce que la plupart des gens ne réalisent pas : les fichiers PDF supportent deux types de protection par mot de passe complètement différents, et celui qui est le plus facile à appliquer est aussi celui qui offre presque aucune sécurité réelle. J'ai vu des professionnels seniors de l'IT confondre ces deux méthodes, donc si vous n'êtes pas clair sur la distinction, vous êtes en bonne compagnie - mais cela ne rend pas vos documents plus sûrs.

Le premier type s'appelle "mot de passe utilisateur" ou "mot de passe d'ouverture de document". Cela empêche quiconque d'ouvrir le PDF sans entrer le bon mot de passe. Lorsqu'il est mis en œuvre avec un cryptage fort (plus à ce sujet sous peu), cela offre une véritable sécurité. Le contenu du fichier est crypté en utilisant le mot de passe comme clé, ce qui signifie que sans le mot de passe, les données réelles restent brouillées et illisibles.

Le deuxième type est "mot de passe propriétaire" ou "mot de passe de permissions". C'est ici que les choses deviennent dangereuses, car cette méthode donne aux gens un faux sentiment de sécurité. Un mot de passe propriétaire ne crypte pas le contenu du document - il ne fait que définir des restrictions sur ce que les utilisateurs peuvent faire avec le fichier une fois qu'il est ouvert. Vous pourriez empêcher l'impression, la copie de texte ou l'édition. Mais voici la partie critique : ces restrictions sont extrêmement faciles à contourner.

Dans mon travail de criminalistique, j'utilise un outil qui supprime les mots de passe de permissions en moyenne en 3,2 secondes. Je ne parle pas de piratage sophistiqué - je parle de logiciels gratuits et disponibles publiquement que tout le monde peut télécharger. Lorsque je démontre cela à des clients, je vois souvent un choc véritable. Ils se sont fiés aux mots de passe de permission pendant des années, croyant que leurs états financiers confidentiels, leurs contrats juridiques et leurs dossiers médicaux étaient protégés.

La raison technique est simple : avec les mots de passe de permissions, le contenu du PDF n'est pas réellement crypté. Les restrictions ne sont que des drapeaux dans les métadonnées du fichier que les lecteurs PDF conformes acceptent de respecter. C'est comme mettre un panneau "Ne pas entrer" sur une porte déverrouillée. Bien sûr, la plupart des gens le respecteront, mais quiconque veut entrer passe simplement par la porte.

Une fois, j'ai travaillé avec un fournisseur de soins de santé qui utilisait des mots de passe de permissions pour "protéger" les dossiers des patients pendant huit ans. Ils pensaient être conformes à la HIPAA. Ils ne l'étaient pas. Lorsque j'ai montré à leur responsable de la conformité à quelle vitesse je pouvais extraire toutes les données des patients, les copier et les imprimer malgré les "protections", elle a immédiatement compris pourquoi ils n'avaient jamais passé un véritable audit de sécurité. Ils étaient à un procès pour violation de données de distance d'une responsabilité catastrophique.

Pourquoi Votre "Forte" Mot de Passe Pourrait Être Inutile

Dites que vous utilisez un véritable mot de passe utilisateur pour crypter votre PDF. Vous avez choisi "K9$mPq2#vL8@" comme mot de passe - 12 caractères, mélanges de majuscules et minuscules, chiffres et symboles. Vous vous sentez plutôt bien à ce sujet, n'est-ce pas ? En fonction de la façon dont vous avez créé ce PDF, votre sécurité peut aller de l'excellente à complètement compromise, et la force du mot de passe n'a rien à voir avec cela.

"La protection PDF la plus facile à appliquer est aussi celle qui offre presque aucune sécurité réelle - et cela est par conception, pas par accident."

Le problème réside dans la force du cryptage, et c'est ici que la sécurité des PDF devient technique de manière qui a une énorme importance. Les fichiers PDF peuvent être cryptés en utilisant plusieurs algorithmes différents, et les plus anciens sont risiblement faibles selon les normes modernes. Je parle du cryptage RC4 à 40 bits, qui était la norme dans les années 1990 et qui est toujours pris en charge par de nombreux outils de création de PDF pour des raisons de "compatibilité".

Pour mettre cela en perspective : je peux casser un PDF crypté avec RC4 à 40 bits avec un mot de passe aléatoire de 8 caractères en environ 6 heures à l'aide d'un ordinateur de bureau standard. Pas un superordinateur. Pas un fermes de serveurs. Mon station de travail Dell que j'ai acheté chez Best Buy. Le cryptage est si faible que même un mot de passe complexe offre une protection minimale car les attaquants n'ont pas besoin de deviner le mot de passe - ils peuvent casser le cryptage directement.

Le cryptage RC4 à 128 bits est mieux mais reste problématique. Il a été déprécié par les organisations de normes de sécurité depuis 2015 en raison de vulnérabilités connues. Pourtant, je rencontre encore des PDF cryptés avec RC4 à 128 bits chaque semaine, généralement issus de versions plus anciennes de logiciels PDF populaires ou de personnes utilisant des outils obsolètes.

La norme actuelle est le cryptage AES à 256 bits (Advanced Encryption Standard). C'est le même cryptage utilisé par les gouvernements pour protéger les informations classifiées. Avec une mise en œuvre appropriée et un mot de passe fort, un PDF crypté en AES à 256 bits est véritablement sécurisé contre toutes les attaques connues. Je n'ai jamais réussi à en casser un durant ma carrière sans obtenir(password) le mot de passe par ingénierie sociale ou le trouver écrit sur un post-it (ce qui arrive plus souvent qu'on ne le pense).

Voici le problème : de nombreux outils de création de PDF par défaut utilisent un cryptage plus faible pour garantir la compatibilité avec les lecteurs PDF plus anciens. Adobe Acrobat, par exemple, utilise le 128 bits AES par défaut, à moins que vous ne sélectionniez spécifiquement la compatibilité "Acrobat X et ultérieur", ce qui active le 256 bits AES. J'ai vu des cabinets d'avocats m'envoyer des documents "confidentiels" cryptés avec RC4 à 40 bits parce que quelqu'un a utilisé une ancienne version d'un pilote d'imprimante PDF qui utilisait cette norme ancienne.

Le Problème de l'Email Dont Personne Ne Parle

Même si vous avez fait tout comme il faut - un mot de passe utilisateur fort, un cryptage AES à 256 bits, tous les ingrédients - il existe toujours une massive vulnérabilité que j'exploite dans environ 60 % de mes évaluations de sécurité : les gens envoient le mot de passe dans un message séparé au même destinataire.

Pensez à ce que vous faites réellement ici. Vous envoyez un fichier crypté par un canal (email), puis vous envoyez la clé de décryptage par le même canal (également email). Si quelqu'un a accès au compte email du destinataire - que ce soit par piratage, assignation légale, ou simplement parce qu'il partage un ordinateur - il a à la fois la boîte verrouillée et la clé assises l'une à côté de l'autre.

Une fois, j'ai démontré cette vulnérabilité à un cabinet d'avocats en demandant l'accès au compte email d'un parajuriste (avec autorisation, dans le cadre d'un audit de sécurité). Dans sa boîte de réception, j'ai trouvé 47 PDF cryptés avec leurs mots de passe correspondants, tous soigneusement organisés dans des fils de discussion par email. Un attaquant qui aurait compromis son compte aurait eu un accès instantané aux communications avec les clients, aux stratégies de cas, et aux négociations de règlement d'une valeur de millions de dollars.

L'approche appropriée consiste à utiliser un canal de communication séparé pour le mot de passe. Si vous envoyez le PDF crypté par email, envoyez le mot de passe par message texte, appel téléphonique, ou une application de messagerie sécurisée comme Signal. Si vous utilisez un service de partage de fichiers comme Dropbox ou Google Drive, envoyez le mot de passe par un service différent. Le principe est simple : ne mettez jamais le verrou et la clé au même endroit.