Laptop mit S/MIME Privatem Schlüssel verloren: UND NUN ?!

Hi trace34 (<= das ist ein Gruß)

Zitat von "trace34"

Nehmen wir mal an, ich benutze für meinen S/MIME (Thawte) Privaten Schlüssel eine simple oder garkeine Passphrase.

Dann bist du schön dumm oder hast das Prinzip einer Verschlüsselung nicht verstanden.
Eine Verschlüsselung ist nur so sicher, wie der bei der Verschlüsselung verwendete Schlüssel. Und dieser wird durch sein Passwort verschlüsselt. Wie war das mit dem schwächsten Glied einer Kette?
Im professionellen Bereich verwenden wir für den private Key deshalb auch (bei ernsthaften Anwendungen) keinen Softtoken (Schlüsselpaar .pfx oder .p12), sondern eine speziell dafür entwickelte und auch zugelassene (Prozessor-)Chipkarte. Und deren PIN hat eine bei der Produktion vorgegebene Länge (i. d. Regel 8 Zahlen) und es sind nur eine bestimmte Anzahl Fehlversuche zugelassen (i. d. Regel 3), bis sich die Karte selbst sperrt. Und es gibt meist auch eine PIN, die man sogar im Notfall bewusst eingeben kann, um die Karte zu sperren.
Das vorgenannte ist auch der Grund, warum eine Chipkarte bis zu 5 Jahren Gültigkeit hat und die des Sofwaretokens auf ein Jahr begrenzt wird.

Zitat von "trace34"

Solange nur ich zu meinem Laptop zugriff habe ist das ja auch "sicher".

Nun, du hast "sicher" ja immerhin in "" eingeschlossen. Ich sage mal so: Es ist genau so "sicher" wie andere Anwendungen, z. Bsp. GnuPG. Für den privaten Anwender und für diverse Firmengeheimnisse auf jeden Fall. Es gibt aber keinen Grund die Schlüsseldatei in ihrer Form als Datei zusätzlich auf dem Laptop zu speichern. Der Import in den Passwortmanager und die Verschlüsselung der drei Dateien mit dem Masterpasswort ist im Falle Thunderbird die bessere Speichermöglichkeit. Dieser "Kryptovariablenspeicher" ist unten den o.g. Bedingungen auch als ausreichend "sicher" zu verzeichnen. Ein entsprechendes Master-PW vorausgesetzt. Für professionelle Anwendungen gibt es auch deswegen geprüfte und zugelassene Speicher als im TB einbindbare PlugIns. Auch das eingebaute "FIPS" ist immerhin in den USA für den behördlichen Bereich zugelassen.

Zitat von "trace34"

Wenn nun aber genau dieser Laptop abhanden in böse Hände kommt, was kann ich dann tun ?

Hoffen? Beten?
Oder dich ärgern, dass du ... siehe oben.
Es ist eine Tatsache, der derjenige, welcher physische Gewalt über einen Rechner erlangt hat, der Gewinner ist. Ausnahme: bei einer sachgerechten Vollverschlüsselung der Platte.

Zitat von "trace34"

Ich kann:
1. Mein Zertifikat bei Thawte "revoken".

Genau.
Und was setzt das revoken voraus?
Es setzt voraus, dass alle Beteiligten auch die entsprechenden CRL importiert haben, diese automatisch aktualisieren lassen (das klappt beim TB leider trotz Aktivierung nicht) und die Angaben auch auswerten.
Aber dazu muss man (im privaten Bereich) die Absender erst einmal bewegen. Im professionellen Bereich erfolgt das selbstverständlich automatisiert. Es werden auch nicht nur CRL benutzt, sondern vermehrt der modernere OCSP-Responder, der auf (automatische) Abfrage dem Client ein "good", "unknown" oder ein "bad" zurücksendet. Und zwar blitzschnell.

Wenn obiges im TB realisiert ist, dann sperrt dieser sauber das entsprechende Empfängerzertifikat und untersagt damit das Verschlüsseln. Und wenn ich eine Mail von einem Absender mit gesperrten Zertifikat erhalte, dann wird das auch sauber angezeigt.
1000-fach getestet - mit jeder Mail, die ich erhalte. Oder zumindest fast jeder.

Mit dem hier üblichen Gruß!

Peter

Zitat von "Vic~"

Welcher *Teufel* reitet Dich hierbei: "... benutze ... Privaten Schlüssel eine simple oder garkeine Passphrase."?
Dann verschlüssel doch besser gar nicht!

100 und 1 Prozent Zustimmung

Zitat von "Vic~"

Das *einzig* Positive bei Deinem Vorgehen ist, daß sich der Finder des Laptops - vor der böswilligen Nutzung Deiner Daten - schlichtweg totlacht!

Ist mir schon fast passiert ... .

Zitat von "Vic~"

Ich will gar nicht daran denken, daß man im Prinzip mittels S/MIME rechtswirksam Dinge unterschreiben kann ...
Da hilft Dir dann im Zweifelsfall kein Gericht. :schlaumeier:

Hier muss ich ein klein wenig relativieren:
Mit den "Kostnix-Werbe-Spielzertifikaten" kann einem derartiges nicht passieren. Ich wurde als natürliche Person ja nie bei dem Herausgeber gem. SigG registriert. Ich bewege mich also genau auf dem Niveau von GnuPG: Fürs Verschlüsseln sehr gut geeignet, fürs Signieren dann gut geeignet, wenn der Empfänger bewusst deinem öffentlichen Schlüssel vertraut. Unabstreitbarkeit (non reputation) = Fehlanzeige. Das gibt es ausschließlich bei qualifizierten Signaturen lt. SigG. Aber da ist es ja auch unbedint so gewollt.

Zitat von "Vic~"

Lies Dir das *Klick* mal durch, dann ahnst Du was geschehen kann wenn böse Menschen in DEINEM Namen im Internet unterwegs sind und dort Dinge anstellen!

Echt dumm gelaufen, aber leider jederzeit möglich. Und nicht nur im Zusammenhang mit einer elektronischen Signatur. Ich möchte sogar behaupten, dass diejenigen, die sich gegen recht viel Geld eine Signaturkarte gekauft haben, sehr gut sensibilisiert und motiviert sind. Sie lassen in der Regel die Karte nicht im Lappi stecken, wenn sie im ICE pi**** gehen.
IT-Sicherheit ist eben mitunter unbequem. Wie viele private Nutzer sind immer noch mit einer WinDOSe ohne Passwort und dafür mit Adminrechten unterwegs. Die meisten wissen gar nicht, dass ihre Rechner längst nicht mehr ihnen gehören (gehorchen), sondern schon lange Mitglieder irgend eines Botnetzes sind.
Die Erfahrungen muss jeder selbst machen. Manchmal hilft eben erst "Lernen durch Schmerzen".
Aber ich will jetzt lieber aufhören, bevor ich mir wieder vorwerfen lassen muss, dass meine Beiträge "am Bedarf vorbeigehen".

MfG Peter