Was genau wird mit dem Masterpasswort geschützt?

  • Hi Forum,


    ich habe die meisten Threads zum Thema Masterpasswort schon so weit durch. Von daher ist mir bekannt, dass man auf jeden Fall ein Masterpasswort setzen sollte schon aus dem Grund, dass Thunderbird offenbar manchmal selbsttätig ein (dann dummerweise unbekanntes) Passwort vergibt, falls man keines vergeben hat.


    Mir ist aber noch nicht ganz klar, was alles mit dem Masterpasswort eigentlich geschützt wird. In den Zertifikatsmanager komme ich ja soweit auch ohne Masterpasswort rein.


    Über die Inhalte meiner verschlüsselten Mails hinaus, gibt es also sonst noch Sachen, die die pösen Puben klauen könnten, wenn sie mein Thunderbird- Masterpasswort kennen würden? Doch nicht etwa meinen privaten S/MIME oder PGP-Schlüssel?


    Vielen Dank schon mal vorab für Erhellung in dieser Frage,


    Grüße David.P
    ---
    TB 3.1
    POP
    Enigmail
    S/MIME
    Windows XP

  • Hallo David.P,


    Zitat von "David.P"

    Von daher ist mir bekannt, dass man auf jeden Fall ein Masterpasswort setzen sollte schon aus dem Grund, dass Thunderbird offenbar manchmal selbsttätig ein (dann dummerweise unbekanntes) Passwort vergibt, falls man keines vergeben hat.


    Das ist mir neu - entweder ich habe etwas falsch verstanden oder Du (tippe auf letzteres - TB setzt nicht selbständig irgendwelche Passwörter).


    Zitat von "David.P"

    Mir ist aber noch nicht ganz klar, was alles mit dem Masterpasswort eigentlich geschützt wird.


    Das Masterpasswort schützt Deine Passwörter! Ohne Passwörter kein Zugriff auf Deine Konten, was nicht bedeutet, dass Deine bereits heruntergeladenen Mails geschützt sind. Dazu mal folgendes zu lesen: http://www.thunderbird-mail.de…&t=48535&hilit=+Truecrypt


    Zitat von "David.P"

    Über die Inhalte meiner verschlüsselten Mails hinaus, gibt es also sonst noch Sachen, die die pösen Puben klauen könnten, wenn sie mein Thunderbird- Masterpasswort kennen würden? Doch nicht etwa meinen privaten S/MIME oder PGP-Schlüssel?


    Doch, wenn jemand Deinen Laptop klaut, hat er auch Deinen privaten Schlüssel. Ich hoffe, dieser hat ein sicheres Kennwort, das nirgendwo auf der Platte gespeichert ist...


    Gruß
    slengfe

    Meine Beiträge sind subjektiv und manipulativ, erheben Anspruch auf Allwissenheit und können Spuren von Ironie oder Sarkasmus enthalten.


    Windows 10 Professional 64 Bit | Thunderbird 32 Bit | Firefox 64 Bit | Avira Free Security Suite

  • Sorry aber jetzt bin ich exakt genauso schlau wie vorher.


    Zitat von "slengfe"


    Das ist mir neu - entweder ich habe etwas falsch verstanden oder Du (tippe auf letzteres - TB setzt nicht selbständig irgendwelche Passwörter).


    Dass Thunderbird selbstständig Masterpasswörter vergibt, kann man an diversen Stellen hier im Forum lesen. Ist mir auch schon passiert.


    Zitat von "slengfe"


    Das Masterpasswort schützt Deine Passwörter!


    Welche Passwörter?


    Zitat von "slengfe"


    Doch, wenn jemand Deinen Laptop klaut, hat er auch Deinen privaten Schlüssel.


    Schützt das Thunderbird-Masterpasswort nun meinen privaten Mailschlüssel oder nicht? Sprich, ist mein privater Mailschlüssel ohne Thunderbird-Masterpasswort zugänglich, und wie geht das in diesem Fall?


    Grüße David.P

  • Zitat von "David.P"

    Welche Passwörter?


    Die Passwörter, die in Deinem Passwortmanager eingetragen sind.
    Das sind z.B. die Passwörter, die ein POP oder SMTP-Server zum Empfang oder Senden einer Mail haben möchte.


    Wenn Du bei z.B. beim Senden einer Mail bei der Abfrage des Passworts einen Haken setzt bei "Dieses Passwort im Passwortmanager speichern" dann tut er eben dieses.
    Ein Unbefugter kann über die TB-Optionen Deinen Passwortmanager aufrufen und so alle diese Passwörter lesen. Außer, wenn Du ein Masterpasswort vergeben hast, dann wird der Passwortmanager durch dieses Masterpasswort geschützt. Die Abfrage des Masterpassworts kommt immer dann, wenn gerade ein Passwort aus dem Passwortmanager gebraucht wird (aber nur einmal pro Session).

  • Okay, also nochmals von vorne. Wir müssen mal ein paar Dinge voneinander trennen.


    Ich habe nicht weiter recherchiert, aber ich kann's mir nicht vorstellen. Wenn TB selber Passwörter setzt, dann kennst Du diese ja nicht, was das System unbrauchbar machen würde. Ich will ja nichts ausschließen, schließlich reden wir von Computern, aber mein TB tut das definitiv nicht. Du kannst ja mal 'nen Link posten, dann schaue ich mir den Thread an.


    Nun zur Trennung zwischen den verschiedenen Passwörtern: Es ist zu unterscheiden a) Masterpasswort b) Kontenpasswörter c) Schlüssel-/Zertifikatspasswörter.


    Ein Masterpasswort schützt Deine Kontenpasswörter, die Dir Zugang zum Abrufen und Senden bei Deinen Mail-Konten erlauben. Ohne diese kann niemand über ein Konto Mails abrufen oder senden. Ist aber keine TB-Sperre, sondern eine Provider-Sperre - das sind sozusagen die Anmeldepasswörter. Diese kannst Du in TB speichern, dann sind sie immer verfügbar. Damit genau das nicht so ist, gibt es das Masterpasswort, dass einen unbefugten Gebrauch der gespeicherten Passwörter verhindert, indem es die Freigabe selbiger erst nach dessen Eingabe erlaubt. Man braucht sich aber a) nur ein (Master-)Passwort zu merken und b) auch nur das (Master-)Passwort eingeben. Besonders praktisch, wenn man mehr als ein Konto hat.


    Das Masterpasswort schützt Deine privaten Schlüssel / Zertifikate nicht, diese liegen ja nicht in TB. Bei S/MIME weiß ich es ehrlich gesagt nicht, ob diese nicht doch im Profil irgendwo liegen, nichtsdestotrotz liegen sie ja frei auf der Festplatte. Bei enigmail werden die Schlüssel ja auch durch ein zusätzliches externes Programm verwaltet (z.B. WinPT); enigmail stellt nur die Schnittstelle zwischen der Schlüsselverwaltung und TB her.
    Und da die Schlüssel / Zertifikate frei auf der Platte liegen und daher über den Explorer zugänglich sind, haben Deine privaten Schlüssel oder Zertifikate noch ein Passwort, mit dem sie vor unbefugter Verwendung geschützt werden. Dieses ist aber unabhängig von TB und wird nicht in TB gespeichert und folglich auch nicht durch ein Masterpasswort geschützt. Die Eingabe ist bei jeder neuen Verwendung (außer es liegt noch im Cache) erforderlich.


    Ich hoffe, das war alles verständlich beschrieben und hat zur Aufhellung beigetragen.


    Gruß
    slengfe

    Meine Beiträge sind subjektiv und manipulativ, erheben Anspruch auf Allwissenheit und können Spuren von Ironie oder Sarkasmus enthalten.


    Windows 10 Professional 64 Bit | Thunderbird 32 Bit | Firefox 64 Bit | Avira Free Security Suite

    Einmal editiert, zuletzt von slengfe ()

  • OK, sehe gerade slengfe's Antwort, danke.


    Also das mit den Providerpasswörtern ist jetzt klar.


    Ferner habe ich sowohl S/MIME als auch GPG/Enigmail in Thunderbird im Einsatz.


    Dabei stelle ich fest, dass ich nach Eingabe des Masterpassworts in Thunderbird ohne weiteres S/MIME-verschlüsselte Nachrichten lesen oder versenden kann, ohne ein weiteres Passwort eingeben zu müssen. Enigmail hingegen verlangt nochmals das eigene Passwort, bevor GPG- verschlüsselte Nachrichten angezeigt oder verschickt werden können.


    Also scheint mir die Frage immer noch nicht ganz klar, ob, und ggf. was, das Masterpasswort mit der Zugänglichkeit der privaten S/MIME und PGP-Schlüssel zu tun hat.


    Grüße David.P

  • Okay, mein Verständnis von S/MIME war so wie beschrieben. Aber wie gesagt, da bin ich kein wirklich Wissender. Vielleicht kann Dir da jemand anderes oder die Anleitung weiter helfen und mich ggf. korrigieren.


    Gruß
    slengfe

    Meine Beiträge sind subjektiv und manipulativ, erheben Anspruch auf Allwissenheit und können Spuren von Ironie oder Sarkasmus enthalten.


    Windows 10 Professional 64 Bit | Thunderbird 32 Bit | Firefox 64 Bit | Avira Free Security Suite

  • Dein private-Key (S/MIME) wird in der Datei "key3.db" gespeichert. In diesem Zusammenhang sind auch die Dateien "cert8.db" und "secmod.db" zu beachten. Alle diese Dateien sind für die Schlüssel- und Zertifikatsverwaltung zuständig.
    Und gemeinsam mit der Datenbank für die Kontopasswörter "signons.sqlite" werden diese mit dem gemeinsamen Masterpasswort geschützt (ver-/entschlüsselt). Das Masterpasswort ist also der symmetrische Schlüssel dafür.
    Bereits beim ersten Versuch, eine Schlüsseldatei (.p12 oder .pfx) zu importieren wird deshalb aus puren Sicherheitsgründen das Setzen eines Masterpasswortes erzwungen. Und ohne dieses Masterpasswort kommst du zukünftig weder an deine Konto-PW noch an deine Zertifikate ran. Noch einen Zahn schärfer geht es beim Export eines deiner Schlüssel vor. Hier musst du bei jedem Export immer wieder das Masterpasswort eingeben. Bei der Benutzung deiner Schlüssel (Entschlüsselung und Signatur) reicht die einmalige Eingabe beim Start des Programms.


    Wenn ein Nutzer bislang das Setzen des Masterpasswortes nicht für erforderlich hielt, kann es passieren, dass beim Empfang einer S/MIME-signierten Mail der TB ein Phantom-Passwort gesetzt hat. Da dieses keiner kennt, hat es zur Folge, dass die o.g. vier Dateien gelöscht werden mussten. Aber das habe ich ja alles in meinem Beitrag in den FAQ beschrieben. Ob dieser "Effekt" auch beim TBv3.x auftritt ist mir nicht bekannt.


    HTH


    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • O.k. danke Peter, also nochmal für mich zum Mitmeißeln.


    Wenn ich also meine S/MIME-Zertifikate in Thunderbird importiert habe, und anschließend ausdrücklich kein Masterpasswort vergebe, dann kann jeder mit Zugang an meinen PC meinen privaten S/MIME-Schlüssel klauen? (Mal angenommen, Thunderbird vergäbe nicht auf eigene Faust ein Masterpasswort)


    Ist das so?


    Vielen Dank und Grüße David.P

  • Ja, das ist so.
    Wenn du dir ein Software-Zertifikat (auch Softtoken genannt) von einem Trustcenter holst, dann ist dieses durch ein so genanntes Transport-Passwort geschützt. Das bedeutet, dass die .pfx-Datei mit 3DES verschlüsselt ist, und dieses Transportpasswort der symmetrische Schlüssel dafür ist.
    Wenn du dann dieses Zertifikat in eine Anwendung oder in ein Betriebssystem importierst, dann übernimmt die Anwendung oder das Betriebssystem den Schutz. Dafür hat z. Bsp. die WinDOSe ihren Zertifikatsspeicher (=> z. Bsp. über den I-Explorer erreichbar) oder Linux sein "Kleopatra" oder der Mac seinen "Schlüsselbund". Das sind allesamt recht sichere Programme, welche die Benutzerschlüssel verschlüsselt speichern und je nach Einstellungen nach der Benutzeranmeldung entweder ohne oder mit vorherigem zusätzlichem Passwort an die anfordernde Anwendung (z. Bsp. an Ausgugg) übergeben.


    Bei Mozilla-Produkten ist das ein klein wenig anders. Da die beiden Programme ja nicht nur auf der WinDOSe laufen, sondern auch auf dem Mac, Linux und weiteren unixoiden Programmen, konnte man sich nicht auf die Zertifikatsspeicher der einzelnen Betriebssysteme abstützen. Das gäbe zu viele Unterschiede in den Schnittstellen. Deswegen hat man dem TB und dem FF einen eigenen Zertifikatsspeicher gegönnt. Eben jenes "Software Kryptografie-Modul". Dieser ist bei allen Varianten gleich. Das hat einen riesengroßen Vorteil: in den USA ist dieses Modul nach dem FIPS-Standard geprüft, was bei uns einer "BSI-Zulassung" für die behördliche Anwendung von S/MIME verschlüsselten Mails entsprechen würde. Und eine derartige Zulassung ist nicht ganz ohne.
    Außerdem ist es bei diesem Kryptografiemodul ganz einfach, weitere CSP (Cryptografic Service Provider) einzubinden, so zum Beispiel so genannte Hardwaretoken wie meine Chipkarte.


    Und das ganze macht natürlich nur Sinn, wenn alles (deine Kontopasswörter, evtl. vorhandene PW für ftp- oder WebDAV-Server auf denen deine Kalender gehostet sind und natürlich die privat-Keys deiner X.509-Zertifikate für die Mailverschlüsselung und wenn vorhanden für die Clientauthentifizierung an bestimmten Servern) mit einem Masterpasswort geschützt sind.


    Dazu meine eigene "Policy":
    Die Passwörter frei im Internet stehender Server (eben auch die Mailserver) werden unablässig von diversen Spielmatzen abgeklopft. Dies können die Provider zwar erschweren, aber nie völlig verhindern. Also hängt die Sicherheit unserer Mailkonten lediglich an Benutzername und Passwort.
    Logische Schlussfolgerung: ein derartiges Passwort hat komplex zu sein (16 Stellen, a-z, A-Z, 1-0, internationale Sonderzeichen) und ist regelmäßig zu wechseln! Wer sein Mailpasswort "Sonnenschein73" nennt und seit 10 Jahren nicht gewechselt hat, ist selber Schuld wenn sein Konto "gehackt" wird. Aber: ein derartiges PW ist, vor allem bei vielen Konten, einfach nicht merkbar. Also rein damit in den Passwortmanager und vergessen. Ein Angriff auf das Masterpasswort kann mehr oder weniger nur lokal erfolgen. Es ist also viel besser zu schützen. Deshalb muss es nicht den hohen Anforderungen genügen.


    OK?


    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • O.k. Peter vielen Dank für die Erläuterung des Zusammenwirkens der Transportwege und Zertifikatsspeicher.


    Das verstehe ich dann so, dass man (bei Anwendung von S/MIME) auf die Vergabe eines Masterpassworts in Thunderbird exakt genauso dringlich pochen sollte wie auf den Schutz des eigenen privaten Schlüssels mittels eines Passworts -- da beides praktisch denselben Sicherheitsgefahren unterliegt.


    Stimmt's?


    Dies war mir so bisher nicht klar geworden (auch nicht anhand der FAQ's etc. hier im Forum, oder ich habe da etwas übersehen).


    Grüße David.P

  • Nicht ganz, es ist eigentlich so das man das "Masterpasswort" immer verwenden sollte um die eigentlich zu schützenden Konfigurations Daten (Zugangsdaten mehrerer Mailkonten, private Keys etc.) sicher zu verwahren.


    Gruß


    Andreas