Private Key ohne Passowrt -> unsicher?

Hallo Azrael42!

Der Ausgugg verwendet den Zertifikatsspeicher des Betriebssystems, welcher ja ständig aktiv ist. Und da ist es schon notwendig, dass du dort deine privaten Schlüssel mit einem Passwort schützt.
Der Thunderbird bringt hingegen (aus gutem Grund!) einen eigenen Zertifikats- und Passwortspeicher mit. Du kennst einen Teil davon als "Passwort-Manager". In einem weiteren Modul werden alle Zertifikate (das sind die öffentlichen Bestandteile) und in einem dritten Modul alle privaten Schlüssel gespeichert. Die Passwörter und die privaten Schlüssel werden verschlüsselt gespeichert und sind bis zur Eingabe des Master-PW nicht auslesbar.
Das bedeutet, dass nur der berechtigte Nutzer deines Kontos auf dem Betriebssystem und somit auch deines TB-Profils (Kenntnis Masterpasswort) an deine Passwörter und deine privaten Schlüssel kommt.

Zitat

so kann ja jeder der an meinem Rechner sitzt in meinem Namen Mails signieren.

FALSCH!
Das geht nur, wenn du
a) Hinz und Kunz an dein Benutzerprofil auf der WinDOSe lässt,
b) dieses nicht mit einem guten Passwort gesichert hast oder alle anderen Konten Adminrechte haben (tödlich!!),
c) im Thunderbird kein Masterpasswort vergeben hast.

Also richte für dich und für Gäste je ein eigenes passwortgeschütztes und eingeschränktes Benutzerkonto und für dich ein Masterpasswort im Thunderbird ein!

Zitat

Warum ist das so und wie kann ich das Verhalten abstellen?

Siehe oben.

Zitat

In Outlook musste ich immer das Passwort eingeben wenn ich signieren wollte.

Ich bin froh, dass das beim Thunderbird anders ist!
Da ich alle meine E-Mails verschlüssele und signiere, würde ich bei einer ständigen PW-Eingabe verzweifeln.

MfG Peter

Zitat

Dann wars also richtig, dass das einzige Mal wo ich das Passwort für den PK eingeben musste beim Importieren war.

Dieses Passwort ist das so genannte "Transport-Passwort". Mit diesem PW ist der Key geschützt, bis er in den Zertifikatsstore importiert wurde.

Zitat

wenn z.B. Trojaner den RAM auslesen...

Hier habe ich (wie fast immer) die gleiche Meinung wie muzel.

Genau deswegen verwenden "Profis" (bzw. ist es bei der QES so vorgeschrieben!) Signaturkarten auf Microrechnerbasis. Da ist nix auszulesen, zumindest nicht der private Schlüssel. Dieser verlässt die Karte niemals, und der Hashwert (zum Verschlüsseln beim Signieren) bzw. der verschlüsselte Sessionkey (zum Entschlüsseln) werden zur Karte übertragen und im dortigen kryptologischen Coprozessor ver- bzw. entschlüsselt. Da kommt also auch kein "Trojaner" heran.
Und wenn die QES zur Anwendung kommt, musst du auch noch einen dafür zugelassenen Klasse 3-Kartenleser mit integrierter Tastatur benutzen. Damit der "Trojaner" noch nicht mal die PIN für die Karte abfangen kann.
Etwas völlig anderes ist es dann mit dem zu verschlüsselnden bzw. dem schon entschlüsselten Text. Hier schlägt dann die Stunde des "Trojaners". Und heutzutage hat wohl niemand mehr das Recht zu sagen, dass sein Rechner 100% clean ist. Und genau das ist das Problem.

BTW: Und wieder einmal haben wir die Bewohner von Troja zu Unrecht verunglimpft! Eigentlich waren sie ja "die Guten", die mit Hilfe des bekannten "Trojanischen Pferdes" ausgetrickst wurden.

MfG Peter

[OT]

Hallo Susanne,

was wäre die Welt ohne etwa "Der Raub der Sabinerinnen" kulturell so öde ...

... und ewig lockt das Weib!

Gruß
Feuerdrache

[/OT]