Защитить PDF паролем

Что шифрование делает с файлом

Шифрование в PDF применяется к каждой строке и каждому потоку по отдельности, а значит, до каждого из них сначала нужно добраться поодиночке. Поэтому документ записывается с развёрнутыми обратно потоками объектов и потоком перекрёстных ссылок — в виде обычных пронумерованных объектов и классической таблицы, — и только после этого шифруется по частям. Вот почему защищённый файл обычно получается чуть больше исходного: структура больше не упакована в сжатые потоки, строки превращаются в шестнадцатеричный шифротекст, а каждый зашифрованный фрагмент несёт 16-байтовый вектор инициализации.

Содержимое сохраняется таким, каким было: страницы, структура закладок, поля форм и их значения, вложения и теги оборачиваются, а не переписываются. Одно не переносится: словарь сведений о документе. Название, автор, тема и дата создания не попадают в пересобранный файл, так что программа просмотра показывает заблокированный документ с пустыми полями. Поток метаданных XMP, который многие программы читают вместо него, сохраняется и шифруется вместе с содержимым.

Здесь записывается самое новое шифрование, которое определяет формат, и на другой стороне за это приходится платить. Программы просмотра, выпущенные примерно до 2011 года, — Acrobat 9 и старше, некоторые читалки электронных книг, встроенные просмотрщики сканеров и МФУ — вообще не могут открыть файл с AES-256 и сообщают, что он повреждён или не поддерживается, вместо того чтобы спросить пароль.

Если нужно другое

Пароль PDF определяет, кто может открыть файл, и больше ничего. Тот, кто его открыл, за секунды может сохранить незащищённую копию, так что это защищает документ при передаче и на общем диске, но не от тех, кому вы его отправили. Если требуется, чтобы содержимое мог прочитать только один конкретный получатель, шифруйте контейнер — архив 7-Zip с AES или age либо GPG с его ключом — и отправляйте пароль другим путём, не вместе с файлом.

Для пакетной обработки или для получателя со старыми программами qpdf делает то же самое из скрипта и позволяет выбрать более старый стандарт: qpdf --encrypt --user-password=... --owner-password=... --bits=128 --use-aes=y -- in.pdf out.pdf записывает AES-128, который открывают программы просмотра вплоть до середины 2000-х.