Proteggere un PDF con una password: aprire, stampare, modificare

Uno studio d’ingegneria ad Airolo invia piani alle imprese di costruzione e perizie ai committenti. Per i piani c’è un desiderio: devono poter essere letti e stampati, ma non modificati. Per le perizie un altro: solo il committente deve poterle aprire. Entrambi si possono realizzare in un PDF con una password — con due password diverse, che agiscono in modo molto diverso.

Due password, due compiti

In Acrobat, Adobe distingue due tipi di password:

Password	Che cosa fa
Password di apertura (Document Open)	Senza di essa il PDF non si può aprire né visualizzare
Password delle autorizzazioni (Permissions)	Limita funzioni come stampa, modifica, copia e commenti

Nella descrizione tecnica del formato si chiamano «user password» e «owner password». I nomi dicono l’essenziale: una serve a chi vuole usare il documento, l’altra a chi ne stabilisce le regole.

Che cosa fa la password di apertura

Con una password di apertura il contenuto del PDF viene cifrato. Dal PDF 1.6 si può usare a tal fine l’AES, un procedimento di cifratura affermato. Senza la password il file resta illeggibile, anche se finisce nelle mani sbagliate.

La qualità di questa protezione dipende soprattutto dalla password stessa. Adobe raccomanda password forti e uniche, con lettere maiuscole e minuscole, numeri e caratteri speciali, senza informazioni facili da indovinare come nomi o date di nascita, e di non riutilizzare la stessa password per molti documenti.

Dalla parte di chi riceve, il programma di lettura chiede la password all’apertura. L’anteprima nel programma di posta o sul telefono, invece, spesso non mostra nulla del contenuto. Una frase nell’e-mail — «La perizia è protetta da una password che Le comunicheremo per telefono» — evita che il file venga scambiato per un file danneggiato.

Anche Microsoft Word offre, salvando in PDF, l’opzione di crittografare il documento con una password; solo le persone che la conoscono possono allora aprire il file.

Che cosa fanno le autorizzazioni — e che cosa no

Con la password delle autorizzazioni, Acrobat permette fra l’altro di impostare:

• Stampa: non consentita, solo a bassa risoluzione (fino a 150 dpi) o ad alta risoluzione;
• Modifiche: nessuna, solo inserire, eliminare e ruotare pagine, solo compilare campi di modulo e firmare, oppure anche commentare;
• Copia di testo, immagini e altri contenuti;
• Accesso al testo per i lettori di schermo per le persone ipovedenti.

Queste impostazioni sono utili, ma sono un’altra cosa rispetto alla cifratura. Il riferimento PDF di Adobe lo precisa: una volta aperto e decifrato un documento, l’applicazione ha accesso a tutto il suo contenuto. Nulla nella cifratura PDF in sé impone le autorizzazioni; spetta ai produttori dei programmi di lettura rispettarle.

Non escludere l’accessibilità

Un’impostazione merita un’attenzione particolare: l’accesso al testo per i lettori di schermo. Se la copia del testo è vietata, a seconda delle impostazioni anche un lettore di schermo può non riuscire più a leggere il testo ad alta voce. Adobe prevede quindi l’accesso al testo per i lettori di schermo come opzione a sé. Chi protegge un documento che devono poter leggere anche persone ipovedenti lascia attiva questa opzione.

Quale impostazione per che cosa

Per lo studio d’ingegneria emergono due combinazioni:

Documento	Password di apertura	Autorizzazioni
Piani	nessuna	Stampa consentita, modifiche non consentite
Perizie	sì	Stampa consentita, accesso per lettori di schermo attivo

Adobe descrive una terza combinazione con l’impostazione che consente solo di compilare i campi di modulo e di firmare. È adatta a un modulo da compilare ma non da rimaneggiare — per esempio un verbale di collaudo che il committente completa e rispedisce.

Per i piani non si tratta di segretezza, ma di evitare modifiche involontarie. Per la perizia si tratta di riservatezza — ed è lì che conta la password di apertura.

Trasmettere la password

Un PDF cifrato serve a poco se la password è nella stessa e-mail. Adobe raccomanda di trasmettere le password tramite canali di comunicazione sicuri e di conservarle in un gestore di password invece di annotarle o inviarle per e-mail. Per lo studio d’ingegneria significa: la perizia parte per e-mail, la password per SMS o per telefono.

Quando si inviano dati personali, ciò si collega a un requisito dell’ordinanza sulla protezione dei dati: nella comunicazione di dati personali, persone non autorizzate non devono poterli leggere, copiare, modificare o cancellare (art. 3 cpv. 2 lett. c OPDa).

Certificati invece di password

Per i documenti che vanno regolarmente agli stessi destinatari, Adobe descrive un’alternativa: la sicurezza con certificato. Il documento viene cifrato per destinatari precisi, che lo aprono con il proprio ID digitale. Secondo Adobe, ciò consente diritti d’accesso diversi per persone o gruppi diversi, e non occorre trasmettere alcuna password. Il prezzo è la configurazione: entrambe le parti hanno bisogno di ID digitali, e i destinatari di un programma in grado di gestirli. Per un piccolo studio con committenti sempre diversi è spesso più impegno di quanto serva; per una cerchia fissa di partner può valerne la pena.

Password che si ricordano

Una password forte e al tempo stesso facile da dettare al telefono non è scontata. Una possibilità è una frase composta da diverse parole casuali: abbastanza lunga da essere difficile da indovinare, eppure facile da dettare. Chi invia più documenti annota nel gestore di password quale password appartiene a quale documento — cosa che anche Adobe raccomanda invece di annotarle altrove.

L’articolo Inviare le buste paga in PDF descrive come un PDF protetto da password può essere usato per l’invio delle buste paga.

Limiti

Tre limiti fanno parte del quadro:

• Le password dimenticate non si recuperano facilmente quando la cifratura è efficace. Un originale non cifrato nel proprio archivio ha quindi senso.
• I documenti aperti possono essere fotografati, ricopiati o inoltrati. La password protegge il file durante il trasporto, non il contenuto dopo l’apertura.
• L’autenticità è un’altra questione. Se un documento è stato modificato a posteriori lo mostra meglio una firma elettronica che una password delle autorizzazioni.

Per lo studio d’ingegneria di Airolo

Lo studio prepara due modelli: piani senza password di apertura, ma con autorizzazioni che escludono le modifiche; perizie con una password di apertura assegnata per progetto e comunicata per telefono. Gli originali non cifrati restano nella cartella del progetto.

Gli strumenti PDF che stiamo sviluppando uniranno, divideranno, ridurranno e modificheranno file PDF — elaborati in Svizzera, in memoria, senza che alcun file resti salvato, e in modalità riservata per determinate operazioni interamente sul Suo dispositivo.