Private Key ohne Passowrt -> unsicher?

  • Hallo zusammen,


    nachdem ich von Outlook (das 2013er ist eine Katastrophe...) auf TB umgestigen bin habe ich festgestellt, dass ich, wenn ich von meinem Uni-Account mit S/MIME-Zertifikat eine Mail schicke, nicht nach einem Passwort für den privaten Schlüssel gefragt werde. Das kommt mir dann doch etwas suspekt vor, so kann ja jeder der an meinem Rechner sitzt in meinem Namen Mails signieren.
    Warum ist das so und wie kann ich das Verhalten abstellen? In Outlook musste ich immer das Passwort eingeben wenn ich signieren wollte.


    Danke schon mal :)



    Thunderbird-Version: 24.6.0
    Betriebssystem + Version: Win7 64bit
    Kontenart (POP / IMAP): IMAP
    Postfachanbieter (z.B. GMX): GMX
    S/MIME oder PGP: S/MIME

  • Hallo Azrael42!


    Der Ausgugg verwendet den Zertifikatsspeicher des Betriebssystems, welcher ja ständig aktiv ist. Und da ist es schon notwendig, dass du dort deine privaten Schlüssel mit einem Passwort schützt.
    Der Thunderbird bringt hingegen (aus gutem Grund!) einen eigenen Zertifikats- und Passwortspeicher mit. Du kennst einen Teil davon als "Passwort-Manager". In einem weiteren Modul werden alle Zertifikate (das sind die öffentlichen Bestandteile) und in einem dritten Modul alle privaten Schlüssel gespeichert. Die Passwörter und die privaten Schlüssel werden verschlüsselt gespeichert und sind bis zur Eingabe des Master-PW nicht auslesbar.
    Das bedeutet, dass nur der berechtigte Nutzer deines Kontos auf dem Betriebssystem und somit auch deines TB-Profils (Kenntnis Masterpasswort) an deine Passwörter und deine privaten Schlüssel kommt.


    Zitat

    so kann ja jeder der an meinem Rechner sitzt in meinem Namen Mails signieren.


    FALSCH!
    Das geht nur, wenn du
    a) Hinz und Kunz an dein Benutzerprofil auf der WinDOSe lässt,
    b) dieses nicht mit einem guten Passwort gesichert hast oder alle anderen Konten Adminrechte haben (tödlich!!),
    c) im Thunderbird kein Masterpasswort vergeben hast.


    Also richte für dich und für Gäste je ein eigenes passwortgeschütztes und eingeschränktes Benutzerkonto und für dich ein Masterpasswort im Thunderbird ein!


    Zitat

    Warum ist das so und wie kann ich das Verhalten abstellen?


    Siehe oben.


    Zitat

    In Outlook musste ich immer das Passwort eingeben wenn ich signieren wollte.


    Ich bin froh, dass das beim Thunderbird anders ist!
    Da ich alle meine E-Mails verschlüssele und signiere, würde ich bei einer ständigen PW-Eingabe verzweifeln.



    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • Hallo Peter,


    OK, danke für die Info, dann weiß ich Bescheid. Dann wars also richtig, dass das einzige Mal wo ich das Passwort für den PK eingeben musste beim Importieren war.
    Mich wunderts halt, dass es keine Einstellung dafür gibt; das Cachen ist mir einfach irgendwie suspekt wenn z.B. Trojaner den RAM auslesen...


    Viele Grüße
    Azarel42

  • Hi,

    Zitat

    ...z.B. Trojaner den RAM auslesen...


    ..dann ist es aber völlig egal, ob du dein Passwort eingeben musst oder nicht, weil dein Rechner nicht mehr dir gehört.
    SCNR, muzel

  • Zitat

    Dann wars also richtig, dass das einzige Mal wo ich das Passwort für den PK eingeben musste beim Importieren war.


    Dieses Passwort ist das so genannte "Transport-Passwort". Mit diesem PW ist der Key geschützt, bis er in den Zertifikatsstore importiert wurde.


    Zitat

    wenn z.B. Trojaner den RAM auslesen...


    Hier habe ich (wie fast immer) die gleiche Meinung wie muzel.


    Genau deswegen verwenden "Profis" (bzw. ist es bei der QES so vorgeschrieben!) Signaturkarten auf Microrechnerbasis. Da ist nix auszulesen, zumindest nicht der private Schlüssel. Dieser verlässt die Karte niemals, und der Hashwert (zum Verschlüsseln beim Signieren) bzw. der verschlüsselte Sessionkey (zum Entschlüsseln) werden zur Karte übertragen und im dortigen kryptologischen Coprozessor ver- bzw. entschlüsselt. Da kommt also auch kein "Trojaner" heran.
    Und wenn die QES zur Anwendung kommt, musst du auch noch einen dafür zugelassenen Klasse 3-Kartenleser mit integrierter Tastatur benutzen. Damit der "Trojaner" noch nicht mal die PIN für die Karte abfangen kann.
    Etwas völlig anderes ist es dann mit dem zu verschlüsselnden bzw. dem schon entschlüsselten Text. Hier schlägt dann die Stunde des "Trojaners". Und heutzutage hat wohl niemand mehr das Recht zu sagen, dass sein Rechner 100% clean ist. Und genau das ist das Problem.


    BTW: Und wieder einmal haben wir die Bewohner von Troja zu Unrecht verunglimpft! Eigentlich waren sie ja "die Guten", die mit Hilfe des bekannten "Trojanischen Pferdes" ausgetrickst wurden.


    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • [OT]


    "Peter_Lehmann" schrieb:

    Eigentlich waren sie ja "die Guten", die mit Hilfe des bekannten "Trojanischen Pferdes" ausgetrickst wurden.


    Naja, auch wenn dabei zwei Göttinnen eine Rolle spielten, ob Männer, die sich ihre Frauen rauben, wirklich zu den "Guten" zählen? ;-)


    [/OT]

  • [OT]


    Hallo Susanne,


    was wäre die Welt ohne etwa "Der Raub der Sabinerinnen" kulturell so öde ...


    ... und ewig lockt das Weib! ;)


    Gruß
    Feuerdrache


    [/OT]

    „Innerhalb der Computergemeinschaft lebt man nach der Grundregel, die Gegenwart sei ein Programmfehler, der in der nächsten Ausgabe behoben sein wird.“
    Clifford Stoll, amerik. Astrophysiker u. Computer-Pionier