Quanto Tempo Demora a Quebrar uma Palavra-passe de PDF? (Números Reais)

"Quanto tempo demoraria a quebrar a palavra-passe do meu PDF" não tem uma única resposta: depende muito de qual encriptação o ficheiro usa e, ainda mais, de como a própria palavra-passe foi escolhida. Abaixo estão números reais medidos, de testes feitos contra encriptação real de PDF em hardware GPU real, cobrindo as quatro revisões ainda encontradas em uso, para poder ver exatamente onde está realmente o risco.

O que "quebrar" mede realmente

Quebrar uma palavra-passe de PDF não significa quebrar a encriptação matematicamente, o próprio AES-256 não é o ponto fraco em nenhum lado disto. Significa testar sistematicamente palavras-passe candidatas, passando cada uma pela função de derivação de chave do PDF para ver se produz a chave correta. A velocidade relevante, então, não é "quão forte é o AES-256" (extremamente), é "quantas palavras-passe candidatas por segundo podem ser testadas contra o passo de derivação de chave deste formato de ficheiro específico", e esse número varia enormemente consoante a revisão de PDF.

Estes números vêm de execuções do hashcat contra amostras reais de PDF nas quatro revisões de encriptação ainda em uso: RC4-40, RC4-128, AES-128, e AES-256 revisão 6, medidas numa única GPU de nível de consumo. As diferenças relativas entre revisões mantêm-se em qualquer GPU moderna, já que a derivação de chave de PDF é limitada pela latência, não pelo débito bruto.

Os números medidos, por revisão de encriptação

RC4-40 (a encriptação de PDF mais antiga e fraca, das primeiras versões do Acrobat): cerca de 5,5 mil milhões de candidatos por segundo. A essa velocidade, todas as combinações possíveis de uma palavra-passe de 8 carateres com letras minúsculas e dígitos (cerca de 2,8 biliões de combinações) esgotam-se em cerca de 8,5 minutos, força bruta, sem dicionário necessário. A chave de encriptação real de 40 bits do RC4-40 também pode ser quebrada diretamente por força bruta, independentemente da palavra-passe, num período de tempo limitado; na prática, nenhum PDF RC4-40 está a salvo de alguém disposto a gastar a capacidade de computação.

RC4-128 e AES-128 (um nível intermédio comum): cerca de 167 milhões de candidatos por segundo. O mesmo espaço de 8 carateres minúsculos mais dígitos demora cerca de 4,7 horas a esgotar por completo, ainda inteiramente viável, e qualquer palavra-passe mais curta ou mais comum do que isso cai muito mais depressa através de ataques de dicionário e regras, muitas vezes em segundos.

AES-256 revisão 6 (o padrão moderno desde o Acrobat 9, e o mais forte que o formato oferece): cerca de 560 000 candidatos por segundo, dramaticamente mais lento do que os outros três, mas ainda cerca de oito vezes mais rápido do que testar candidatos contra um ficheiro equivalente do Office 2013, porque a função de derivação de chave da especificação de PDF corre apenas 64 iterações, contra 100 000 no Office. Uma pesquisa exaustiva de 7 carateres demoraria cerca de 39 horas a essa velocidade; uma palavra-passe fraca ou baseada em dicionário, de qualquer comprimento, cai tipicamente em segundos, já que os ataques de dicionário e de regras não precisam de pesquisar o espaço completo.

O que isto significa para uma palavra-passe fraca ou escolhida por uma pessoa

Para uma palavra-passe que é uma palavra de dicionário, um nome, uma frase curta, ou um padrão comum com alguns números acrescentados, a revisão de encriptação praticamente não importa: ataques de dicionário e de regras encontram-na em segundos a minutos em qualquer uma das quatro revisões, porque a pesquisa não precisa de enumerar todo o espaço possível de palavras-passe, testa o conjunto muito mais pequeno de palavras-passe que as pessoas realmente escolhem. Esta é a principal conclusão dos números acima: a força da cifra (AES-256 versus RC4-40) importa muito menos para o seu risco real do que se a própria palavra-passe alguma vez foi feita para resistir a um computador, em vez de apenas a um ser humano a adivinhar.

O que isto significa para uma palavra-passe forte e aleatória

O panorama inverte-se completamente para uma palavra-passe genuinamente aleatória. Os testes mostraram que uma palavra-passe aleatória de 12 carateres, misturando maiúsculas, dígitos e símbolos, resistiu a todas as fases de ataque nas quatro revisões de encriptação, incluindo o caminho rápido de força bruta do RC4-40 e o mais lento do AES-256; a escada completa de testes (dicionário, mutação baseada em regras, e ataques de máscara limitados) correu até ao fim e não encontrou nada em nenhuma das amostras. Isso não é quase ter conseguido, é o resultado esperado: uma palavra-passe aleatória de 12 carateres está tão além mesmo dos 5,5 mil milhões por segundo do RC4-40 que esgotar o espaço de pesquisa não é realista em nenhum orçamento de hardware. O comprimento e a verdadeira aleatoriedade, não a revisão de encriptação, é o que realmente determina se uma palavra-passe resiste aos testes.

Porque isto importa se está a escolher uma palavra-passe para proteger um PDF

Se é você quem está a adicionar proteção por palavra-passe a um PDF, estes números apontam para uma conclusão clara: escolha uma palavra-passe genuinamente longa e aleatória (uma palavra-passe gerada por um gestor de palavras-passe, com doze ou mais carateres, é ideal), e a revisão de encriptação que a sua ferramenta de PDF usa torna-se quase irrelevante para a sua segurança real. Inversamente, uma palavra-passe memorável e escolhida por uma pessoa abdica da maior parte da sua proteção, independentemente de qual revisão AES ou RC4 a envolve, já que os testes baseados em dicionário não se importam com a força da cifra por baixo.

Se está do outro lado disto, a tentar voltar a entrar no seu próprio PDF com uma palavra-passe que genuinamente esqueceu, os mesmos números dizem-lhe honestamente o que esperar: o nosso guia sobre recuperar uma palavra-passe de PDF esquecida percorre o que é realisticamente recuperável dados exatamente estes dados, e o que não é.

Como estes números foram realmente medidos

Estes não são cálculos teóricos: vêm de executar o hashcat contra ficheiros PDF reais construídos especificamente para testar cada revisão de encriptação, tanto com palavras-passe deliberadamente fracas (retiradas de uma lista comum de palavras-passe reveladas em fugas de dados, para validar que o pipeline realmente funciona de ponta a ponta) como com palavras-passe deliberadamente fortes (aleatórias de 12 carateres, para testar onde a barreira está realmente). As amostras fracas foram quebradas em todos os casos, segundos a dezenas de segundos por ficheiro, confirmando que o pipeline de extração e teste se comporta corretamente contra encriptação real de PDF, em vez de um substituto simplificado. As amostras fortes resistiram em todos os casos, ao longo de toda a escada de ataque (dicionário, depois mutação baseada em regras, depois pesquisa de máscara limitada), que é exatamente o resultado que se quereria ver se a barreira é real e não uma lacuna nos testes.

O custo é a outra forma útil de olhar para estes números. Como uma tentativa de teste corre por um orçamento fixo independentemente do modo que visa, uma tentativa completa custa aproximadamente o mesmo em tempo de computação, seja qual for a revisão de encriptação do PDF, a revisão só muda quantas palavras-passe candidatas esse orçamento consegue percorrer. Uma quebra bem-sucedida, quando a palavra-passe é suficientemente fraca para ser encontrada de todo, tende a acontecer nos primeiros segundos de testes baseados em dicionário, o que é uma pequena fração desse orçamento. Por outras palavras: a economia de testar uma palavra-passe de PDF é dominada por a palavra-passe ser fraca, não por qual revisão de encriptação protege o ficheiro.

Perguntas frequentes