為什麼滲透測試報告總是加密？
資安顧問公司、會計師事務所與企業內部資安團隊交付的滲透測試報告、弱點掃描結果、紅隊演練結案文件、程式碼安全審計與合規稽核報告，幾乎都會以加密 PDF 形式提供。原因不難理解：報告內容包含系統弱點、未修補漏洞、內部網段架構、帳號權限缺失，甚至個資欄位與詳細修補建議，一旦外洩，等於把可行的攻擊路徑直接交給他人。合約要求以及 ISO 27001、SOC 2、PCI DSS 等查核規範，也普遍要求這類文件必須加密傳遞並留存存取紀錄。
問題在於，加密保護了文件，也可能在數月或數年後反過來鎖住文件的合法擁有者。當主管機關來函詢問、客戶重新招標，或內部啟動覆核時，才發現當初的開啟密碼已經無人知曉。
先分辨：你遇到的是哪一種 PDF 密碼
PDF 規範中有兩組性質不同的密碼，處理方式完全不同：
- 文件開啟密碼（User Password）：開啟檔案時就要輸入，沒有密碼就無法讀取內容。這是最難處理、需要真正進行密碼恢復的一種。
- 權限密碼（Owner Password）：檔案可以正常開啟，但被限制列印、複製內容、加入註解或編輯。若你能開啟檔案，這類限制通常可在合法授權下重新輸出或移除，不需要大規模運算。
加密強度也有差異。早期 PDF 多採 RC4 40／128 位元加密，現代文件則常見 AES-128 或 AES-256。AES-256 本身沒有數學捷徑，恢復的成敗關鍵不在「繞過加密」，而在還原當初設定的那組密碼，再用它正常解密。任何宣稱可直接繞過 AES-256 開啟密碼的說法，都值得高度懷疑。
密碼為什麼會失聯
實務上常見的遺失情境包括：
- 密碼經由另一個通道告知（電話、通訊軟體、當面口頭），與檔案分開存放；人員離職後，通道紀錄一併消失。
- 顧問公司依最小權限原則不保留客戶密碼，客戶端又沒有集中託管機制。
- 專案結案多年後才因查核或重新招標調閱，當時承辦人已調職或離開。
- 密碼管理器換機、訂閱取消或主密碼遺忘，連帶讓備存的紀錄無法取用。
- 密碼本身是規則組合（公司統編、專案代號、日期、大小寫變形），但沒有人記得確切排列方式。
恢復前的排查：先做低成本的事
在訴求任何工具前，建議依序確認：
- 查閱密碼管理器、瀏覽器儲存紀錄、專案管理系統與信箱，搜尋關鍵字可試「密碼」「PDF」「報告」「password」與專案代號。
- 檢查通訊軟體對話與會議紀錄，顧問經常以臨時訊息傳遞密碼。
- 列出單位常用的密碼規則，例如英文名稱縮寫加民國年加符號，先以人工嘗試少量變化。PDF 輸錯密碼不會鎖檔，但盲目亂試只是浪費時間。
- 確認是否有未加密的舊版本、草稿或紙本封存，有時應急只需部分內容。
- 聯繫原交付廠商；若對方依政策未保留密碼，就需要走正式恢復流程，並在內部留存申請與授權紀錄。
三種恢復路徑的比較
第一種：人工與常見字典嘗試。 成本最低，但只對弱密碼有效；若密碼是十二位以上的隨機字串，命中機率極低。
第二種：在自己電腦上執行恢復軟體。 檔案不會離開內網，適合保密要求極高的環境；缺點是一般筆電或桌機運算量有限，複雜密碼可能連續跑數週仍無結果，還要承擔耗電、風扇負載與硬體老化的成本。
第三種：具備 GPU 叢集的專業恢復服務。 適合長密碼、複雜規則與有時限壓力的情境。選擇時重點看兩件事：能否只提取 Hash 特徵碼而不上傳原始檔案，以及是否具備字典與密碼規律資料庫。以貓密網 Catpasswd為例，其流程是在本機從 PDF 提取雜湊值後，僅上傳特徵碼進行比對，含有弱點細節的原始報告不需離開你的環境；雲端 GPU 叢集承擔主要運算，恢復成功後可選擇免費等待查看或付費立即顯示，失敗則無需支付費用。
為什麼不要把報告直接丟給免費線上工具
滲透測試報告不是普通檔案。搜尋「PDF 破解」會出現大量標榜免費、即時的網頁工具，多數要求把整個檔案上傳，潛在風險包括：
- 弱點與內部架構資訊外洩，可能被用於規劃針對性攻擊；
- 檔案在第三方伺服器留存，無法確認實際刪除時間；
- 免費服務可能以販賣資料或散布附加軟體作為真實營收模式；
- 缺乏稽核軌跡，日後無法向查核人員說明檔案曾流經哪些系統。
若法規或合約要求檔案不得離開受控環境，應優先選擇支援本機 Hash 提取的方案，並以書面或系統單據保留完整處理紀錄。
授權與法律紅線
密碼恢復只能針對你擁有或已獲書面授權的檔案。資安報告常牽涉多方權利，包括顧問公司、受測企業與第三方驗證單位，恢復前最好確認職務權限，或取得主管與法務核可。處理過程建議留存：檔案雜湊值、申請人、授權人、處理時間與使用工具，讓整個行為可被檢視——這與滲透測試本身強調授權範圍的精神一致。
恢復成功後：如何避免再發生一次
- 將密碼集中託管於團隊共用的密碼管理器，並設定存取權限與職務繼承機制。
- 交付時以密封信封或加密託管方式，把密碼與檔案分開保存於客戶端。
- 制訂規則說明文件，記錄密碼組成邏輯與長度，而非明文記錄密碼本身。
- 定期演練調閱，確保鑰匙持有人休假或離職時仍有備援人選。
- 結合資料留存政策，規範加密報告的保存年限、調閱申請流程與到期銷毀方式。
常見問題 FAQ
Q1：忘記開啟密碼的 PDF 有可能直接繞過嗎？ 若檔案採用 AES 等現代加密，沒有正確密碼就無法解密內容，正規做法是還原密碼再正常開啟，而非繞過加密演算法。網路上聲稱萬用移除的工具，多半只處理權限密碼，或暗藏資料外洩風險。
Q2：恢復過程會不會損壞原始檔案？ 正規流程是對檔案副本或提取出的雜湊值進行運算，不會修改原始 PDF。建議處理前先複製一份並記錄檔案雜湊值，事後比對即可確認檔案未被變更。
Q3：上傳 Hash 特徵碼和上傳整個 PDF 有什麼差別？ 雜湊值是單向運算結果，無法從中還原報告內容，只能用於驗證密碼猜測；原始檔案留在本機，可大幅降低弱點資訊外洩風險，這對資安稽核文件尤其重要。
Q4：嘗試太多次密碼會不會讓檔案永久鎖死？ PDF 格式本身沒有帳號式鎖定機制，輸入錯誤不會永久鎖檔，但人工逐一嘗試效率很低。建議先完成例行排查，再使用字典、密碼規則與 GPU 加速的專業流程。
Q5：貓密網 Catpasswd 支援哪些加密格式？ 除 PDF 外，也涵蓋 ZIP、RAR、7Z、Word、Excel、PowerPoint，以及 Bitcoin Wallet、1Password、Wallet 等常見加密格式。服務採恢復失敗無需支付的模式，適合先評估可行性，再決定是否投入預算。