PDF Security Best Practices: Encryption, Passwords, and Redaction - PDF0.ai

Saya masih ingat panggilan telepon yang mengubah cara saya memikirkan keamanan PDF selamanya. Saat itu pukul 2:47 pagi pada hari Selasa di bulan Maret 2019, dan saya adalah Direktur Keamanan Informasi di sebuah penyedia layanan kesehatan menengah yang mengelola catatan untuk lebih dari 340.000 pasien. CISO kami berada di telepon, suaranya tegang dengan kepanikan yang terkendali: "Kami memiliki masalah. Catatan pasien. Terbuka. PDF yang kami pikir aman." Malam itu, saya belajar bahwa 23.000 file PDF yang konon "dilindungi kata sandi" telah diindeks oleh mesin pencari, isinya sepenuhnya dapat dibaca oleh siapa saja yang memiliki koneksi internet. Kata sandinya? Itu ada, secara teknis diterapkan, tetapi diimplementasikan dengan sangat buruk sehingga mungkin bisa ditulis dengan krayon di luar amplop.

Insiden itu menghabiskan biaya kami sebesar $1,2 juta untuk remidiasi, denda regulasi, dan biaya hukum. Yang lebih penting, itu menghabiskan kepercayaan kami. Namun itu mengajarkan saya sesuatu yang sangat berharga: keamanan PDF bukan hanya tentang mencentang kotak atau menerapkan fitur karena mereka ada. Ini tentang memahami model ancaman yang sebenarnya, vektor serangan di dunia nyata, dan cara-cara yang terkadang bertentangan dengan intuisi di mana fitur keamanan dapat gagal. Selama 14 tahun terakhir bekerja di keamanan dokumen—pertama di perawatan kesehatan, lalu di teknologi hukum, dan sekarang sebagai konsultan independen—saya telah melihat setiap kesalahan yang mungkin dilakukan, dan saya telah belajar bahwa melindungi PDF memerlukan pola pikir yang secara mendasar berbeda daripada yang dibawa kebanyakan orang ke masalah ini.

Lanskap Keamanan PDF: Mengapa Dokumen Anda Lebih Rentan Dari yang Anda Pikirkan

Mari kita mulai dengan kebenaran yang tidak nyaman: organisasi rata-rata sama sekali tidak tahu berapa banyak PDF yang mengandung informasi sensitif, di mana PDF tersebut disimpan, atau siapa yang memiliki akses ke sana. Dalam audit 2023 yang saya lakukan untuk sebuah perusahaan jasa keuangan Fortune 500, kami menemukan 847.000 file PDF di seluruh jaringan mereka. Dari jumlah tersebut, 34% mengandung informasi yang dapat diidentifikasi secara pribadi (PII), 12% mengandung data keuangan yang dianggap sebagai informasi non-publik material, dan 3% mengandung kredensial atau kunci API yang dapat memberikan akses ke sistem produksi. Yang mengejutkan? Hanya 8% dari PDF sensitif yang memiliki kontrol keamanan yang diterapkan sama sekali.

PDF secara unik bermasalah dari perspektif keamanan karena mereka berada di persimpangan beberapa vektor ancaman. Mereka adalah dokumen, jadi orang-orang menganggapnya sepele—mengirimnya melalui email, mengunggahnya ke penyimpanan cloud, membagikannya melalui aplikasi pesan. Tetapi mereka juga wadah yang dapat dijalankan yang dapat menyertakan JavaScript, file terbenam, formulir yang mengirimkan data, dan tautan ke sumber daya eksternal. Mereka sekaligus terlalu dipercaya dan tidak cukup dipercaya. Pengguna akan membuka PDF tanpa berpikir dua kali tetapi tidak selalu memverifikasi keasliannya atau memeriksa apakah itu telah dimanipulasi.

Spesifikasi PDF itu sendiri adalah dokumen sepanjang 756 halaman (per PDF 2.0), dan sebagian besar pengembang yang menerapkan fitur PDF mungkin memahami sekitar 15% dari itu. Hal ini menciptakan permukaan serangan yang besar. Saya secara pribadi telah mengeksploitasi pembaca PDF menggunakan aliran objek yang tidak teratur, memanipulasi tabel referensi silang untuk menyembunyikan konten, dan menggunakan pembaruan bertahap untuk membuat dokumen yang menampilkan konten yang berbeda tergantung pada pembaca mana yang membuka mereka. Dan saya bahkan bukan penyerang yang sangat canggih—saya adalah pembela yang mencoba memahami apa yang mungkin dilakukan.

Alat yang digunakan orang untuk membuat dan mengamankan PDF berkisar dari solusi tingkat perusahaan yang harganya ribuan dolar per kursi hingga konverter online gratis yang mungkin mengumpulkan data Anda atau tidak. Dalam pengalaman saya, sekitar 60% organisasi menggunakan setidaknya tiga alat pembuatan PDF yang berbeda, dan mereka jarang memiliki kebijakan keamanan yang konsisten di antara mereka. Sebuah departemen mungkin menggunakan Adobe Acrobat dengan enkripsi yang tepat, departemen lain mungkin menggunakan driver print-to-PDF yang menghapus semua keamanan, dan yang ketiga mungkin menggunakan alat online yang mengunggah semuanya ke server di yurisdiksi dengan hukum perlindungan data yang dipertanyakan.

Memahami Enkripsi PDF: Tidak Semua Perlindungan Diciptakan Sama

Ketika sebagian besar orang memikirkan tentang keamanan PDF, mereka berpikir tentang enkripsi. Tetapi "PDF terenkripsi" sama spesifiknya dengan mengatakan "pintu terkunci"—ada banyak jenis kunci yang berbeda, beberapa di antaranya dapat dibuka dengan klip kertas, dan beberapa memerlukan peralatan pemotong industri. Spesifikasi PDF mendukung beberapa algoritma enkripsi, dan perbedaan di antara mereka bukanlah akademis—mereka mewakili perbedaan antara keamanan yang sebenarnya dan teater keamanan.

"Keamanan PDF bukan hanya tentang mencentang kotak atau menerapkan fitur karena mereka ada—ini adalah tentang memahami model ancaman yang sebenarnya, vektor serangan di dunia nyata, dan cara-cara yang terkadang bertentangan dengan intuisi di mana fitur keamanan dapat gagal."

Metode enkripsi tertua yang masih digunakan adalah RC4 dengan kunci 40-bit, yang dianggap lemah ketika diperkenalkan pada 1990-an dan sekarang sudah benar-benar tidak berfungsi. Saya dapat membongkar PDF terenkripsi RC4 40-bit dalam waktu kurang dari 30 detik di laptop saya menggunakan alat yang tersedia secara gratis. Namun, saya masih menemukan ini di dunia nyata, biasanya dibuat oleh sistem lama atau perangkat lunak usang yang belum diperbarui dalam satu dekade. Dalam satu kasus yang berkesan, sebuah firma hukum menggunakan enkripsi RC4-40 pada perjanjian penyelesaian karena sistem manajemen dokumen mereka dari tahun 2004 tidak mendukung yang lain. Mereka terkejut mengetahui bahwa dokumen "aman" mereka dapat dibuka oleh siapa saja yang memiliki keterampilan teknis dasar.

Standar saat ini adalah enkripsi AES-256, yang harus Anda gunakan untuk sesuatu yang benar-benar perlu aman. AES-256 adalah standar enkripsi yang sama digunakan oleh pemerintah AS untuk informasi rahasia hingga tingkat RAHASIA. Ketika diterapkan dengan benar dengan kata sandi yang kuat, itu secara efektif tidak dapat dipecahkan dengan teknologi saat ini—kami berbicara tentang 2^256 kemungkinan kunci, yang lebih banyak daripada jumlah atom di alam semesta yang dapat diamati. Tetapi inilah frasa kritisnya: "ketika diterapkan dengan benar dengan kata sandi yang kuat."

Kata sandi adalah tempat kebanyakan enkripsi PDF gagal dalam praktiknya. Saya telah menganalisis ribuan PDF terenkripsi, dan kata sandi yang paling umum adalah pola yang dapat diprediksi: "kata sandi", "123456", nama perusahaan, nama dokumen, atau tanggal dalam berbagai format. Dalam uji penetrasi yang saya lakukan tahun lalu, saya dapat membongkar 67% PDF terenkripsi menggunakan kamus hanya 10.000 kata sandi umum. Enkripsi itu secara teknis kuat—AES-256—tetapi kata sandinya begitu lemah sehingga enkripsi itu seperti tidak ada.

Selain itu ada perbedaan penting antara kata sandi pengguna dan kata sandi pemilik dalam PDF. Kata sandi pengguna (juga disebut kata sandi terbuka) diperlukan untuk membuka dokumen secara keseluruhan. Kata sandi pemilik (juga disebut kata sandi izin) mengontrol apa yang dapat Anda lakukan dengan dokumen setelah terbuka—mencetak, menyalin teks, mengedit, dll. Inilah masalahnya: kata sandi pemilik fondamentalnya rusak. Mereka sebenarnya tidak mengenkripsi konten; mereka hanya menetapkan bendera yang dihormati oleh pembaca PDF yang mematuhi. Pembaca PDF mana pun yang tidak peduli untuk patuh bisa mengabaikan pembatasan ini. Saya dapat menghapus pembatasan kata sandi pemilik dari PDF dalam waktu sekitar lima detik menggunakan berbagai alat gratis.

Strategi Kata Sandi: Membangun Pertahanan yang Benar-Benar Bekerja

Jika Anda akan menggunakan perlindungan kata sandi—dan untuk banyak kasus penggunaan, ini masih merupakan opsi yang paling praktis—Anda memerlukan strategi kata sandi yang mengakui baik realitas teknis maupun faktor manusia. Saya telah mengembangkan kerangka kerja yang saya sebut "kekuatan kata sandi kontekstual," yang menyesuaikan persyaratan berdasarkan sensitivitas konten, metode distribusi, dan masa hidup yang diharapkan dari dokumen.

Untuk dokumen yang sangat sensitif—apa pun yang mengandung PII, data keuangan, rahasia dagang, atau data yang diatur