Pdf-wachtwoorden en versleuteling: welke bescherming je echt krijgt

Twee wachtwoorden, twee totaal verschillende beloften

Het GEBRUIKERSwachtwoord (ook openingswachtwoord) versleutelt het document. Zonder dat wachtwoord is de inhoud cijfertekst: geen tekst, geen afbeeldingen, niets leesbaars. Dit is echte cryptografie, en met een sterk wachtwoord de bescherming die ertoe doet.

Het EIGENAARSwachtwoord versleutelt niets wat een lezer ziet. Het zet permissievlaggen: niet printen, niet kopiëren, niet bewerken. Het bestand zelf opent gewoon; de vlaggen zijn instructies aan de weergavesoftware. Adobes eigen producten respecteren ze, maar geen wiskunde dwingt iemand anders daartoe, en veel tools doen het simpelweg niet.

Het praktische gevolg: gaat het om vertrouwelijkheid, dan telt alleen het gebruikerswachtwoord. Permissievlaggen zijn een beleefd verzoek, nuttig als signaal ('dit contract graag niet bewerken'), maar waardeloos tegen wie het erop aanlegt.

Waartegen AES-256 echt verdedigt

Moderne pdf's worden versleuteld met AES-256, hetzelfde cijfer dat voor staatsgeheimen is gestandaardiseerd. Tegen brute kracht op het cijfer zelf is de bescherming voor praktische doeleinden absoluut; niemand kraakt AES-256 door sleutels te proberen.

Het aanvalbare oppervlak is het wachtwoord, niet het cijfer. Versleutelingssterkte zakt in tot wachtwoordsterkte: 'factuur2024' valt ongeacht AES binnen seconden voor een woordenboekaanval, terwijl vier willekeurige woorden elke realistische poging overleven. Het cijfer garandeert dat de enige weg naar binnen de voordeur is; hoe goed de sleutel is, kies jij.

Oudere pdf's zijn een ander verhaal: bestanden met het verouderde RC4-40-bitschema (gangbaar vóór 2008) zijn ronduit te kraken, wachtwoord of niet. Als vertrouwelijkheid telt en het bestand oud is, is opnieuw versleutelen met een modern hulpmiddel geen paranoia maar onderhoud.

De grenzen die geen enkele pdf-instelling oplost

Versleuteling beschermt het bestand in rust en onderweg. Na het legitieme openen door de ontvanger beschermt ze niets meer: die kan het scherm fotograferen, waar toegestaan naar een nieuwe onbeveiligde pdf printen, de inhoud overtypen of het wachtwoord gewoon samen met het bestand delen. Een wachtwoord beperkt WIE het document opent, nooit wat iemand doet met wat hij zag.

Metadata verdient een aparte waarschuwing: bestandsnamen, en in sommige tools titel- en auteursvelden, kunnen ook bij versleutelde bestanden leesbaar blijven. Een vertrouwelijk bestand 'ontslagen-december-definitief.pdf' noemen lekt de kop naar iedereen die de bijlagenlijst ziet, cijfertekst of niet.

Een verstandige beschermingsroutine

Gebruik een gebruikerswachtwoord met echte entropie (een wachtwoordzin van meerdere willekeurige woorden verslaat elke uitspreekbare reeks van 8 tekens), en stuur het wachtwoord via een ander kanaal dan het bestand: bestand per e-mail, wachtwoord per bericht of telefoon. Beide in één mail beschermt tegen precies niemand.

Stem de moeite af op de inzet. Permissievlaggen volstaan als signaal bij onschuldige concepten; echte geheimen verdienen versleuteling plus een sterke wachtwoordzin; en wat nooit mag lekken verdient de eerlijke erkenning dat een pdf-wachtwoord transportbescherming is, geen kluis, en misschien helemaal niet per e-mail zou moeten reizen.