alte Zertifikate aufheben oder Verschlüsselung entfernen?

Hi Mr. Z

wusste noch gar nicht, dass man mit Zertifikaten Probleme haben kann ... .

Zitat von "Mr. Z"

Mein bisheriges kostenloses Zertifikat ist nun abgelaufen und da eine Verlängerung bei diesem Level ja leider nicht möglich ist, habe ich wieder ein neues beantragt.

Das ist normal, bei einem Softwaretoken ist die maximale Gültigkeit 1 Jahr. Das hat ganz einfach etwas mit der kryptologischen Sicherheit zu tun. Die Schlüssellänge wächst mit der gesteigerten Rechenkraft. Und im Gegensatz zur (Prozessor-)Chipkarte hat der Angreifer beliebig viele Versuche.

Zitat von "Mr. Z"

Nun stellt sich mir die Frage, was passiert mit meinen verschlüsselten Mails im Posteingang? Wenn ich irgendwann in ferner Zukunft den PC neuinstallieren muss, werde ich da mein altes, jetzt abgelaufenes Zertifikat installieren müssen, damit ich meine alten Mails noch lesen kann?

Du kannst mit dem alten Schlüssel deine Mails beliebige Zeit nach dem Ablauf der Gültigkeit des Zertifikates entschlüsseln. Nur verschlüsseln und signieren geht dann nicht mehr.
Selbstverständlich musst du die Schlüsseldateien immer neu importieren. Aber: du kannst doch problemlos die kompletten drei Dateien mit den Schlüsseln und PW weiter nutzen ... .

Zitat von "Mr. Z"

Der Logik nach wahrscheinlich schon, gibt es deshalb eine Möglichkeit, die Verschlüsselung von alten Mails im Posteingang zu entfernen? Es ist doch ziemlich unkomfortabel immer einen Satz alter Zertifikate mit sich rumzuschleppen....

ÜberLogik kann man streiten. Ich kenne beim TB keine Lösung, die Mails entschlüsselt zu speichern. Zumindest keine Lösung ohne Tricks wie erneutem Senden o. ä. Und wieso ist das unkomfortabel? Ich habe ca. 20 Schlüssel auf der Platte + 1 Chipkarte und gestört hat es mich bisher nicht.

Zitat von "Mr. Z"

Und wenn ich schon am Fragen stellen bin: Gibt es inzwischen eigentlich (endlich!) eine Lösung für mehrere Zertifkate bei mehreren Identitäten? Leider war das bisher ja nicht möglich - großer Schwachpunkt von Thunderbird - da das Programm ja immer nur das Zertifikat der Hauptidentität akzeptiert. Ein Plugin wäre mir auch ganz recht...

Das ist nicht nur ein "Problem" beim Thunderbird, sondern auch bei fast allen mir bekannten Clients. Eigentlich will das gar niemand, denn im professionellen Bereich ist es üblich, ein Zertifikat nur für eine Adresse auszustellen. Klar funktioniert es mit mehreren, aber so richtig eben nicht. Es gibt immer Probleme, und ein professioneller Client zeigt das beim Empfänger auch sehr deutlich an (=> ungültige Mailadresse).
S/MIME und X.509 ist eben keine "Verschlüsselung für die Massen", sondern spielt in eine anderen Liga ... .

MfG Peter