Užšifruotas PDF nėra neįveikiama kliūtis, bet skubėti reikia protingai
Reklamos ir medijos agentūrose PDF formatu dažniausiai keliauja itin jautrūs dokumentai: atsakymai į klientų užklausas, CTV kampanijų planai, auditorijų segmentai, kainodaros lentelės, dėmesio matavimo rodikliai, mėnesio ataskaitos ir sutartims rengiami priedai. Todėl nenuostabu, kad prieš siuntimą tokie failai apsaugojami slaptažodžiu.
Problema prasideda tada, kai slaptažodį užrašęs darbuotojas išeina atostogų, pereina į kitą skyrių, pakeičia pareigas arba tiesiog pats jo neprisimena. Dokumentas, kuris turėjo būti išsiųstas po valandos, staiga tampa neprieinamas. Tai nėra nei neįprasta, nei gėdinga situacija: daugeliu atvejų prieigą galima atkurti, tačiau svarbiausia nepanikuoti, neįkelti konfidencialaus failo į pirmą pasitaikiusią svetainę ir pasirinkti metodą, atitinkantį duomenų jautrumą.
Kodėl PDF slaptažodžiai taip dažnai pamirštami
Agentūrų darbas yra projektinis, greitas ir dažnai paremtas laikinais kampanijų pavadinimais. PDF failai šifruojami skirtingais slaptažodžiais: vienas naudojamas konkursiniam pasiūlymui, kitas – metinei sutarčiai, trečias – ataskaitai, kuri siunčiama tik konkretaus kliento adresatams. Po kelerių mėnesių ar metų tie deriniai dažnai neišlieka.
Dažniausios priežastys:
- slaptažodis buvo sukurtas rankiniu būdu ir niekur neįrašytas;
- komanda naudojosi bendra „Excel“ lentele arba pokalbių programa, kurioje žinutė jau paslėpta po šimtais kitų pranešimų;
- darbuotojas, šifravusį failą, paliko komandą;
- slaptažodis buvo susietas su kampanijos pavadinimu, kuris vėliau pasikeitė;
- dokumentas iš archyvo ištraukiamas po kelerių metų;
- buvo naudojamas laikinas derinys, pvz., kliento pavadinimas, metai ir specialus simbolis, tačiau tiksli tvarka pasimiršo.
Svarbu suprasti, kad PDF gali būti apsaugotas dviem skirtingais lygmenimis. Atidarymo slaptažodis neleidžia failo išvis atverti be teisingo rakto. Savininko arba teisių slaptažodis gali riboti spausdinimą, kopijavimą ar redagavimą, tačiau pats dokumentas paprastai atsidaro. Šių dviejų tipų painiava lemia nesėkmingus bandymus „pašalinti slaptažodį“, kai iš tikrųjų reikia atkurti dokumento atidarymo raktą.
Pirmieji žingsniai prieš imantis sudėtingesnio atkūrimo
Prieš paleidžiant žodynų atakas arba perkant specializuotą paslaugą, verta atlikti kelis paprastus patikrinimus. Dažnai jie užtrunka kelias minutes ir padeda išvengti nereikalingų išlaidų.
1. Patikrinkite, ar turite teisę atkurti prieigą
Failas turi priklausyti jūsų organizacijai, arba turite turėti kliento, darbdavio ar savininko leidimą. Konfidencialių medijos planų ir asmens duomenų atveju be leidimo atliekamas atkūrimas gali sukelti ir teisinių, ir sutartinių pasekmių.
2. Ieškokite kito dokumento varianto
Patikrinkite:
- „SharePoint“, „Google Drive“, „OneDrive“ ar vidinio disko versijų istoriją;
- elektroninio pašto juodraščius ir išsiųstus laiškus;
- dizaino, medijos planavimo ir analizės sistemų eksportus;
- kolegų kompiuteriuose ar komandos bendrame kataloge išsaugotas versijas;
- klientui siųstą variantą, jei jis buvo apsaugotas kitu arba jau pašalintu slaptažodžiu.
Kartais pats PDF yra tik galutinė versija, o vidinis „Word“, „PowerPoint“ ar „Excel“ šaltinis su reikšmingais duomenimis tebėra prieinamas.
3. Patikrinkite slaptažodžių tvarkyklę ir komandos saugyklą
Jei organizacija naudoja „1Password“, „Bitwarden“, „KeePass“ ar verslo slaptažodžių tvarkyklę, ieškokite ne tik pagal kliento pavadinimą, bet ir pagal projekto kodą, metus, failo pavadinimą bei žodžius „PDF“, „pasiūlymas“ ar „ataskaita“. Taip pat patikrinkite saugius pastabų laukus, kuriuose komanda kartais laikinai įrašo šifravimo derinius.
4. Sudarykite galimų slaptažodžių sąrašą
Užrašykite visus modelius, kuriuos komanda naudojo tuo laikotarpiu: kliento pavadinimą, agentūros pavadinimą, kampanijos kodą, metus, mėnesį, įmonės domeną ir įprastus specialiuosius simbolius. Net jei tikslaus derinio neprisiminsite, šie duomenys vėliau leis sukurti kaukę arba susiaurinti paiešką. Pavyzdžiui, užuot tikrinus visiškai atsitiktines kombinacijas, bus galima tikrinti tik konkrečią struktūrą.
Kokie atkūrimo metodai iš tikrųjų veikia
Žodynų ir modelių ataka
Daug žmonių kuria slaptažodžius naudodami panašius modelius: įsimintiną žodį, metus, didžiąją raidę ir šauktuką ar kitą simbolį. Specializuotuose įrankiuose naudojami žodynai, paplitę slaptažodžiai ir statistiniai modeliai, padedantys patikrinti tikėtinus derinius. Šis metodas ypač naudingas, kai slaptažodis buvo trumpas, sukurtas žmogaus arba pakartotas iš senesnių projektų.
Kaukės ataka
Jei žinote slaptažodžio struktūrą, bet ne kiekvieną simbolį, taikoma kaukės ataka. Pavyzdžiui, gali būti žinomas kliento pavadinimas, po kurio ėjo keturi metai ir specialus simbolis. Toks žinojimas smarkiai sumažina tikrintinų kombinacijų skaičių, palyginti su visiškai neapibrėžta brute force paieška.
Visiškas perrinkimas
Brute force metodas bando visas įmanomas simbolių kombinacijas. Jis techniškai paprastas, bet ilgiems, atsitiktinai sugeneruotiems slaptažodžiams gali užtrukti labai ilgai, net ir naudojant galingus grafinius procesorius. Šis metodas paprastai prasmingas tik tada, kai žinomas apytikslis ilgis, simbolių rinkinys arba kai slaptažodis labai trumpas.
GPU debesijos galia
Šifruotų PDF failų tikrinimas yra daug skaičiavimo reikalaujantis procesas. GPU įrenginiai tūkstančius lygiagrečių branduolių gali panaudoti gerokai efektyviau nei įprastas biuro nešiojamasis kompiuteris. Debesijos GPU klasteris leidžia apdoroti užklausas greičiau ir nereikalauja, kad įmonė pati investuotų į brangią aparatinę įrangą.
Vis dėlto greičio negalima painioti su garantija. Jei slaptažodis yra ilgas, visiškai atsitiktinis, unikalus ir niekada nebuvo naudojamas kitur, joks metodas negali užtikrinti rezultato per kelias minutes.
Kodėl nereikėtų įkelti konfidencialaus PDF į pirmą nemokamą svetainę
Nemokami internetiniai įrankiai gali atrodyti patogus sprendimas, tačiau agentūros dokumentuose dažnai yra komerciškai jautrios informacijos: pirkimo modelių, CPM tarifų, klientų biudžetų, auditorijų segmentų ir kartais net asmens duomenų. Įkėlus failą į nepatikimą paslaugą, jo kopija gali būti išsaugota, indeksuota, panaudota trečiųjų šalių arba nutekėjusi po kelių mėnesių.
Pagrindinės rizikos:
- prarandama failo kontrolė ir sudaromas BDAR bei sutartinių įsipareigojimų pažeidimo pavojus;
- svetainė gali reikalauti įdiegti programinę įrangą ar naršyklės plėtinį;
- nemokama paslauga po „sėkmingo“ atkūrimo gali paprašyti mokėjimo,
- neaišku, kur ir kiek laiko saugoma failo kopija;
- silpnas svetainės saugumas gali lemti duomenų nutekėjimą.
Todėl konfidencialiems klientų failams labiau tinka metodai, kuriems nereikia įkelti paties dokumento. Pavyzdžiui, specializuota paslauga Catpasswd leidžia vietoje išgauti Hash požymį ir toliau atlikti skaičiavimus naudojant šį požymį, o ne originalų PDF. Tai reiškia, kad medijos planas ar kliento ataskaita neišeina iš organizacijos įrenginio ar vidinės aplinkos, o privatumo rizika gerokai sumažėja.
Catpasswd naudoja debesijos GPU klasterį, specializuotus slaptažodžių žodynus ir modelių duomenų bazes, todėl tinka ilgesniems ar sudėtingesniems žmonių sukurtiems slaptažodžiams tikrinti. Jei prieigos atkurti nepavyksta, mokėti nereikia; norint rezultatą pamatyti nedelsiant, galima rinktis mokamą parinktį, o laisvesniu grafiku – nemokamą laukimo režimą. Tai naudingiau nei pirkti atskirą programinę įrangą vienam retam incidentui, tačiau prieš pateikiant užklausą vis tiek verta surinkti kuo daugiau informacijos apie galimą slaptažodį.
Ką verta žinoti apie PDF šifravimo stiprumą
Ne visi PDF failai yra vienodai gerai apsaugoti. Senesniuose dokumentuose gali būti naudojamas senesnis RC4 šifravimas, o naujesniuose – AES-128 arba AES-256. Nuo to priklauso ir tikrinimo greitis, ir realios atkūrimo galimybės.
Tačiau net silpnesnis šifravimas nereiškia, kad slaptažodį būtinai pavyks atspėti. Jei slaptažodis buvo ilgas ir atsitiktinis, sena formato versija problemos neišsprendžia. Priešingai, net modernus AES nesumažina sėkmės tikimybės iki nulio, jei naudotas paprastas, pakartotas ar kompanijos viduje nuspėjamas derinys.
Naudinga paslaugos teikėjui arba vidiniam IT specialistui pateikti:
- apytikslį slaptažodžio ilgį;
- galimas kalbas ir žodžius;
- kliento, projekto ar kampanijos pavadinimus;
- naudojamus metus ir datos formatus;
- įprastus didžiųjų raidžių ir simbolių modelius;
- senus slaptažodžius, kurie galėjo būti panašūs;
- informaciją, ar slaptažodis buvo generuotas automatiškai.
Kuo daugiau kokybiškų užuominų, tuo mažiau skaičiavimo išteklių švaistoma akivaizdžiai netikėtoms kombinacijoms.
Kaip išvengti pakartotinio incidento
Geriausias atkūrimas yra toks, kurio neprireikia kitą kartą prieš pat svarbų pristatymą. Agentūroms verta įsivesti kelias paprastas taisykles.
Naudokite komandos slaptažodžių tvarkyklę
Kliento PDF slaptažodis neturi gyuoti tik vieno darbuotojo galvoje arba privačiame pokalbyje. Jis turėtų būti saugomas verslo slaptažodžių tvarkyklėje, prie kurios prieigą turi įgalioti projektų vadovai, IT ar saugos komanda.
Atskirkite šifravimo ir prieigos teises
Jei PDF tik riboja redagavimą ar spausdinimą, nereikia visiems dalinti atidarymo slaptažodžio. Kartais prasminga naudoti sertifikatus, leidimus arba saugų dokumentų portalą, o ne slaptažodžius siųsti tuo pačiu el. pašto kanalu kaip ir patį failą.
Sukurkite „break-glass“ procesą
Komanda turėtų žinoti, ką daryti, kai atsakingas darbuotojas nepasiekiamas. Slaptažodžiai gali būti laikini užantspauduotame skaitmeniniame voke, apsaugotoje saugykloje arba IT valdomoje prieigos grupėje. Procesas turi būti aprašytas vidinėje tvarkoje, o ne sugalvojamas krizės metu.
Palikite šaltinio failą saugioje vietoje
Jei PDF kuriamas iš „PowerPoint“, „Word“, „Excel“ ar dizaino programos, redaguojamas šaltinis turėtų būti išsaugotas vidinėje bendradarbiavimo platformoje su versijų istorija. Tuomet pamirštas eksportuoto failo slaptažodis nesustabdys viso projekto.
Patikrinkite failą prieš siuntimą
Prieš įkeldami dokumentą į kliento portalą, atsisiųskite galutinį PDF, išvalykite talpyklą, iš naujo jį atidarykite ir įsitikinkite, kad slaptažodis veikia, visi puslapiai įkeliami, o teisingi gavėjai žino atidarymo instrukciją.
Išvada
Užšifruoto PDF prieigos praradimas reklamos agentūroje gali sukelti spaudimą dėl termino, tačiau pats savaime dar nereiškia, kad kliento medijos planas ar ataskaita prarasti. Pirmiausia reikia patikrinti versijas, šaltinius, slaptažodžių tvarkykles ir komandos saugyklas, tada įvertinti šifravimo tipą ir turimas užuominas. Konfidencialiems failams neturėtų būti naudojami nepatikimi internetiniai įkėlimo įrankiai; saugesnis kelias yra specializuotas metodas, pagrįstas vietiniu Hash požymio išgavimu, GPU galia ir duomenų neiškėlimu iš organizacijos.
Ilgainiui didžiausią vertę sukuria ne pats atkūrimo įrankis, o tvarkinga slaptažodžių valdymo kultūra: centralizuota saugykla, aiškios prieigos teisės, šaltinių failų išsaugojimas ir periodinės komandos patikros. Tada pamirštas slaptažodis tampa išsprendžiamu techniniu nesklandumu, o ne rizika kliento pasitikėjimui.
DUK
Ar galima tiesiog pašalinti PDF slaptažodį?
Taip, kai kalbama apie redagavimo, spausdinimo ar kopijavimo apribojimus ir dokumentas jau atsidaro. Tačiau jei PDF apsaugotas atidarymo slaptažodžiu, pirmiausia reikia atkurti teisingą raktą; apeiti šifravimą be rakto paprastai neįmanoma.
Kiek laiko trunka užšifruoto PDF slaptažodžio atkūrimas?
Tai priklauso nuo šifravimo versijos, slaptažodžio ilgio, simbolių rinkinio, sudėtingumo ir turimų užuominų. Trumpi arba modeliu pagrįsti slaptažodžiai gali būti patikrinti greičiau, o ilgi, visiškai atsitiktiniai ir unikalūs deriniai gali būti neatkurti per priimtiną laiką.
Ar saugu konfidencialų PDF įkelti į nemokamą internetinę svetainę?
Paprastai nerekomenduojama, ypač jei faile yra klientų kainų, asmens duomenų ar komercinių paslapčių. Saugiau rinktis sprendimą, kuriam nereikalaujama įkelti originalo failo, pavyzdžiui, vietoje išgaunamą Hash požymį.
Ką daryti, kai slaptažodį žinojo tik išėjęs darbuotojas?
Pirmiausia patikrinkite versijų istoriją, komandos slaptažodžių tvarkyklę, elektroninio pašto archyvus ir šaltinio failus. Jei prieigos nėra, įgaliotam organizacijos atstovui galima naudoti specializuotą atkūrimo paslaugą, pateikiant kuo daugiau konteksto apie įmonės slaptažodžių modelius.
Ar slaptažodžio atkūrimas yra teisėtas?
Atkurti prieigą galima tik tada, kai failas priklauso jums, jūsų organizacijai arba turite savininko leidimą. Konfidencialių klientų dokumentų atveju rekomenduojama pasikonsultuoti su IT, duomenų apsaugos ar teisiniu skyriumi.
Ar GPU naudojimas garantuoja, kad PDF bus atrakintas?
Ne. GPU žymiai pagreitina daugelio galimų slaptažodžių tikrinimą, bet jokia technologija negali garantuoti kiekvieno atsitiktinio ilgo slaptažodžio atkūrimo. Sėkmę labiausiai lemia žmogaus sukurti modeliai, pakartoti slaptažodžiai ir tikslios užuominos.