Ce qu’un mot de passe PDF protège réellement

Les deux mots de passe ne sont pas deux forces d’une même chose

Le mot de passe utilisateur — un vrai chiffrement

Aussi appelé mot de passe d’ouverture. Dès qu’il est défini, les flux du document sont chiffrés ; les octets sur le disque sont du texte chiffré. Aucun lecteur ne peut afficher le contenu sans le mot de passe, parce que le contenu n’est pas là pour être affiché. C’est une protection véritable, et sa solidité est celle du mot de passe et de l’algorithme de chiffrement.

Le mot de passe propriétaire — une demande, pas un verrou

Aussi appelé mot de passe de permissions. Le fichier est lisible par n’importe qui. Il contient un jeu d’indicateurs précisant ce qu’un lecteur devrait autoriser : imprimer, copier le texte, extraire à des fins d’accessibilité, modifier, annoter. Les lecteurs conformes les respectent. Rien ne les impose. Ces indicateurs sont consultatifs, le contenu n’est pas chiffré vis-à-vis du lecteur, et tout outil qui choisit de ne pas les consulter ne les consulte tout simplement pas.

Ce n’est pas un défaut que quelqu’un devrait corriger — c’est ce que dit le format. Un indicateur de permission est une note adressée aux logiciels bien élevés, et il faut y voir exactement cette protection-là et rien de plus.

Ce à quoi les permissions servent, et ce à quoi elles ne servent pas

Les indicateurs de permission valent la peine d’être définis pour ce qu’ils font réellement : ils énoncent votre intention et ils bloquent le cas accidentel. Un collègue qui n’allait de toute façon pas copier votre texte est désormais aussi empêché de le faire sans s’en rendre compte. Un imprimeur reçoit un signal clair sur ce que vous vouliez dire.

Ils ne valent rien face à quiconque ne souhaite pas s’y conformer, et il importe de le dire sans détour : les retirer ne demande aucun cassage, aucune devinette et aucune connaissance particulière. C’est un panneau, pas un verrou.

Donc : utilisez-les pour communiquer. Ne les utilisez pas pour protéger quoi que ce soit dont la divulgation aurait réellement des conséquences.

La force du chiffrement, et ce qu’il ne couvre pas

Les PDF modernes utilisent AES, le plus souvent avec une clé de 256 bits, et ce n’est pas là le point faible. Le point faible est le mot de passe, car la clé en est dérivée. Un mot de passe court ou courant peut être attaqué hors ligne à la vitesse que permet le matériel de l’attaquant, et le fichier n’oppose aucune résistance — un attaquant détient le document entier et peut tester des hypothèses indéfiniment sans que personne ne le sache. Les fichiers anciens utilisant un chiffrement 40 bits ou RC4 doivent être considérés comme non protégés.

Deux limites du chiffrement PDF méritent d’être énoncées explicitement, car on les écarte couramment par hypothèse :

• Le chiffrement n’est pas du caviardage. Chiffrer un document sur lequel un rectangle noir a été dessiné au-dessus d’un paragraphe protège l’ensemble du fichier contre ceux qui n’ont pas le mot de passe — et livre complètement ce paragraphe à tous ceux qui l’ont, parce qu’un rectangle dessiné ne supprime pas le texte en dessous. C’est un autre travail : voyez comment caviarder un PDF définitivement et caviarder un PDF.
• Le chiffrement ne supprime pas les métadonnées. Les noms d’auteurs, le logiciel producteur, les horodatages et l’historique des révisions sont à l’intérieur du fichier, protégés ni plus ni moins que le reste — et dès que quelqu’un a le mot de passe, il a tout cela. Supprimer les métadonnées d’un PDF est l’outil qui s’en charge, et ce que contiennent les métadonnées d’un PDF explique ce qui s’y trouve.

Choisir le bon outil pour le vrai problème

• Personne d’autre que les personnes autorisées ne doit lire ceci. Définissez un mot de passe utilisateur avec protéger un PDF par mot de passe, faites-le long, et transmettez-le par un canal différent de celui du fichier. Un mot de passe envoyé par courriel à côté du document qu’il protège n’a rien protégé.
• Ceci ne doit pas contenir une information précise. C’est du caviardage, pas un mot de passe. Supprimez le contenu.
• Je veux qu’on puisse le lire mais pas le réutiliser. Les indicateurs de permission énoncent l’intention ; ils n’arrêteront personne. Si la réutilisation compte vraiment, ne diffusez pas le document.
• J’ai le mot de passe et je veux cesser de le saisir. Déverrouiller un PDF retire la protection d’un fichier que vous pouvez déjà ouvrir. Ce n’est pas un outil de récupération : il lui faut le mot de passe, et un mot de passe dont vous ne disposez pas ne peut pas être retiré.

Une note pratique sur la façon dont ce site s’y prend. La protection et le déverrouillage sont traités sur le serveur, parce que la cryptographie en jeu n’est pas quelque chose à faire tourner dans un onglet de navigateur — le fichier est envoyé sur une connexion chiffrée, conservé uniquement le temps du traitement, puis supprimé. Le mot de passe que vous saisissez est transmis pour effectuer l’opération et n’est jamais journalisé, stocké ni affiché dans une quelconque erreur.