使用 .PDF 文件强制执行一次性政策

Question

我的组织有一些机密（如法定要求的机密）文件，这些文件在发布到公共领域之前会分发给某些人和委员会团体。这些文件需要在此时间范围内加以考虑，以防止它们“过早”发布。这在历史上是由所有感兴趣的各方在一个封闭的房间里举行会议、分发文件、召开会议，然后在每个人离开房间时收集的。我的任务是使用我们面向公众的 Web 服务器（运行 Apache2 的 Xen HVM 上的 Debian 5.0.6）复制相同类型的策略机制。

我立即不喜欢将机密材料保存在全世界都可以访问的网络服务器上的想法，但我们将把这个问题放在一边。这些文件需要 1) 只有相关方可以访问，2) 文件的内容以某种方式受到保护，3) 不能被查看的人打印，4) 不能被保存以供以后重新分发.

我认为使用 .PDFs 是最好的解决方案。我可以限制打印和编辑文档的能力。明智地使用 .htaccess 和 SSL 可以防止全世界下载它们。这是一次性使用的非分发部分，我想不出一种体面的实施方式。一旦它们被下载，它们就会被下载。我能想到的任何事情都不能阻止某人将文档传递给不应该将它与密码一起阅读的人。我需要的是一种一次性策略机制，例如 .PDF 的一次性密码。使用一次密码，然后我们只依赖 Adob​​e 的加密（无论好坏）。

无论如何，我对如何完成这件事有点不知所措，我希望这里的一些好人可以帮助我产生一些想法，这样我就可以向老板介绍这个项目的利弊。

非常感谢你。

编辑：已经多次注意到，任何技术系统都可以轻松地通过诸如将文档中的信息口述给某人，拍照或屏幕截图或类似的东西来绕过。这种威胁已经存在于“封闭房间”模型中，尽管它肯定要小得多。我们或多或少可以信任另一端的人，而不是他们的计算机。

Answer 1

依赖 PDF 文件（或任何其他类型的文件）中的任何类型的“DRM”保护，都假定进行阅读的阅读器软件和计算机是“受信任的”。这是一个坏主意。

您可以使用身份验证和加密将“使用”限制为授权方，但这仅在授权方确保其密码和密钥安全时才有效。如果您不传播硬件令牌，那么很可能密码或密钥很容易被泄露。

撇开所有技术问题不谈，如果机密数据非常重要，以至于传统上在闭门会议中传播并在会议结束后收集副本，那么用“DRM”保护它是不合适的。您不能（也永远无法）使用“DRM”来复制这种保密性方面的功能。

我会向您的主管明确表示，任何涉及将数据发送到您无法控制的“解决方案”都将导致违反保密规定。无论您以电子形式在文档上放置多少个 DRM 控件都没有关系，这不会阻止某人用相机拍摄他们的屏幕照片、大声口述内容等。

如果闭门会议只是一种陈旧的形式，而且保密程度并不是那么重要，那么您可能会使用加密解决方案。在这种情况下，我会认真考虑使用硬件令牌来保证私钥的安全。您的最终用户消费者的 PC 应被视为不受信任且不是存储密钥材料的安全场所。