Sicherheit meines Passwortes durch Thunderbird gefährdet?

  • Hallo zusammen,


    ich habe mir heute zu Testzwecken mal das aktuelle Thunderbird installiert und mein Gmail Konto eingerichtet.


    Was mich interessiert ist wie Thunderbird mein Passwort speichert wenn ich Passwort speichern angewählt habe. Dieses wird ja sicherlich in einer Datei abgelegt, doch wie ist diese Datei gesichert?
    Welche Verschlüsselung wird genutzt?


    Und wie verhält es sich wenn ich das Passwort nicht speichern lasse?


    Wird dann für die Aufrechterhaltung der Verbindung zum Gmail Server ein Cookie gesetzt?


    Ich habe nicht wirklich Ahnung von der Materie und Frage deshalb, weil ich ungern mein Passwort unsicherer machen möchte da dieses eventuell durch Thunderbird schlecht gesichert in einer Datei gespeichert wird.


    Also es durch Thunderbird eventuell einfacher ist an mein Passwort zu gelangen da das "knacken" der Datei in der es steht einfacher ist als das Passwort an sich zu "knacken"


    Grüße

  • Hallo,


    dieser Artikel sollte Deine Fragen beantworten: https://luxsci.com/blog/master…efox-and-thunderbird.html


    Dir ist bewusst, dass Du zugestimmt hast, dass Dein Provider sämtliche E-Mails, die Du über dieses Konto versendest und empfängst lesen und auswerten darf? Auch, dass er die dabei gewonnenen Informationen unbefristet speichern darf? Der Verschlüsselungsalgorithmus für die Passwörter wäre für mich die kleinere Sorge.


    Gruß


    Susanne

  • Hallo auroraxf,
    und willkommen im Forum!



    Gut, dass du dir solche Gedanken machst!


    wie Thunderbird mein Passwort speichert wenn ich Passwort speichern angewählt habe. Dieses wird ja sicherlich in einer Datei abgelegt, doch wie ist diese Datei gesichert?
    Welche Verschlüsselung wird genutzt?

    Der Thunderbird speichert die Passwörter für deine Mailkonten und auch für andere Verbindungen wie zum Bsp. Cal- und CardDAV-Server usw. in einer sqlite-Datenbank mit Namen "signon.sqlite".
    Diese Datenbank wird, sofern du ein Masterpasswort setzt (!!), verschlüsselt und der Schlüssel wird aus dem Masterpasswort abgeleitet.
    Als ich mich vor ein paar Jahren zum letzten mal durch die englischen Originaldokumente gequält habe, wurde dabei als symm. Algorithmus 3DES eingesetzt. Das ist zwar schon eine Weile her, aber weniger als 3DES wird wohl auch heute nicht genutzt.
    BTW: 3DES ist zwar schon sehr alt, wurde aber kryptologisch noch nicht gebrochen. Auch wenn es heute allgemein üblich ist, AES zu nutzen. Und vielleicht ist es auch noch gut zu wissen, dass der TB in den USA nach FIPS zertifiziert ist, was ja immerhin in etwa unserer "BSI-Zertifizierung" entspricht.


    Ich empfehle jedem, auch das Masterpasswort zu setzen! Auch wenn er der einzige Nutzer auf dem Rechner ist. Genau so, wie ich aus puren Sicherheitsgründen jedem empfehle, den Administrator-Account nur zum Administrieren, und zum "Arbeiten" einen eingeschränkten Benutzeraccount zu nutzen. Selbstverständlich beide bzw. alle mit einem guten (Admin mit einem sehr guten!) Passwort geschützt.
    (BTW: Ich weiß aber auch, dass ONU zumeist zu bequem dazu ist. Aber jeder ist für seine Daten selbst verantwortlich!)



    Wird dann für die Aufrechterhaltung der Verbindung zum Gmail Server ein Cookie gesetzt?

    Ich habe im Thunderbird noch keine Cookies gesehen.
    Der Server fragt den Client nach den Auth-Daten. Der Client liest diese aus der signons.sqlite aus und liefert sie an den Server. Ist dort kein PW gespeichert, fragt der Thunderbird den Nutzer danach. Nach der ersten erfolgreichen Auth. werden die Auth.-Daten in der Laufzeit des Programms im Speicher gehalten.



    Und jetzt habe ich eine Frage an den Experten:
    Was ist wohl sicherer:


    • die mit einem gerade noch gut merkbaren Master-PW gesicherte Speicherung der vielen je Konto unterschiedlichen, sehr langen und komplexen, also niemals merkbaren, und auch ab und an gewechselten Konto-Passwörter im Passwort-Manager des Thunderbird, oder
    • immer wieder beim Start des TB händisch ein Konto-PW einzuhacken, welches garantiert nicht den Merkmalen entspricht, die ich oben genannt habe?



    Ach ja, ich wünsche dir viel Freude mit deinem vertrauensvollen Provider, der mit den von dir übergebenen Daten immer sehr sorgfältig und im Interesse des Datenschutzes umgeht. Habe ich richtig gelesen? Dieser Provider arbeitet daran, eingehende Mails vollautomatisch und sinnvoll beantworten zu können ... .



    MfG Peter
    (der sich wieder viel zu viel Zeit gelassen hat ... Aber jetzt lasse ich es stehen.)

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • Hallo,


    ich danke euch beiden für eure Antworten.


    @SusiTux


    Hm der Artikel ist von 2009. Ob das wirklich noch so gehandhabt wird ist fraglich.


    Leider wird dort auch nicht erwähnt wie Thunderbird arbeitet wenn das Passwort nicht gespeichert werden soll, sondern nach jedem Start neu eingegeben wird.


    @'Peter_Lehmann


    Danke für die ausführliche Antwort. Nun weiß ich das erst nach setzen eines Master Passwortes die Datei "signon.sqlite" verschlüsselt wird.


    Doch auch an dich die Frage, wie ist es wenn ich angewählt habe das Passwort nicht zu speichern.
    Wird es dann für die aktuelle Sitzung auch in der "signon.sqlite" abgelegt und nach dem beenden von Thunderbird wieder gelöscht?


    Wenn dem so ist, ist die Datei in dem Moment ja nicht verschlüsselt, da kein Master Passwort?


    Ich finde in meinem Profil Ordner auch keine "signon.sqlite". Wird das Passwort also woanders abgelegt bei der Version 38.3.0?



    Was deine Experten Frage angeht:


    Ich nutze zur Verwaltung aller meiner Passwörter KeePass und änder diese jeden Monat, sowie auch das Master Passwort der Datenbank.
    Bei dem Programm weiß ich wie die Datei verschlüsselt wird etc.


    Ich würde Thunderbird auch mein Mail Konto Passwort speichern lassen und dann ein Master Passwort darüber legen, wenn ich weiß das die
    Datei mit dem Passwort dann auch wirklich gut verschlüsselt ist. Nur leider weiß ich dies momentan noch nicht, da nicht einmal klar ist um welche Verschlüsselung es sich handelt.


    Ich bin da vielleicht zu paranoid, aber lasst mich doch =)



    Die Sache bzgl. mitlesen vom Provider etc. habe ich im Hinterkopf und werde da in Zukunft auch etwas dagegen unternehmen,
    ich bin gerade erst am ändern all dieser Angelegenheiten, dies ist aber jetzt kein Thema hier, danke.


    Grüße

  • Wird es dann für die aktuelle Sitzung auch in der "signon.sqlite" abgelegt und nach dem beenden von Thunderbird wieder gelöscht?

    Dann wird das PW nur für die Zeit der Sitzung im RAM gehalten.



    Wenn dem so ist, ist die Datei in dem Moment ja nicht verschlüsselt, da kein Master Passwort?

    Eine signons.sqlite ist ohne gesetztes Master-PW unverschlüsselt.



    Ich finde in meinem Profil Ordner auch keine "signon.sqlite". Wird das Passwort also woanders abgelegt bei der Version 38.3.0?

    Es kann sein, dass diese Datenbank erst bei ihrer ersten Benutzung (Speicherung eines PW) angelegt wird.
    Da ich es mir nie angetan habe - und das für dich auch nicht testen will - weiß ich es nicht genauer.



    Ich nutze zur Verwaltung aller meiner Passwörter KeePass und änder diese jeden Monat, sowie auch das Master Passwort der Datenbank.
    Bei dem Programm weiß ich wie die Datei verschlüsselt wird etc.

    Mit KeePass hast du eine gute Wahl getroffen.
    Nun nenne mir doch bitte den signifikannten Unterschied zwischen dem Passwort-Manager KeePass und dem Passwort-Manager des Thunderbird.


    Und wenn es dir gelingen sollte, KeePass dazu zu bringen, die Passwörter deiner Mailkonten zu speichern (das ist kein Problem!) und sie auch auf die Anfrage des Mailservers an diesen zu liefern, dann lasse es mich wissen.


    Nur leider weiß ich dies momentan noch nicht, da nicht einmal klar ist um welche Verschlüsselung es sich handelt.

    Auch wenn du diese Frage noch 5x stellst, wirst du keine andere Antwort bekommen als die, die du schon bekommen hast.



    Ich bin da vielleicht zu paranoid, ... =)

    Ich wage es sehr zu bezweifeln, dass du mich darin übertreffen kannst. ;-)




    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • Auch wenn du diese Frage noch 5x stellst, wirst du keine andere Antwort bekommen als die, die du schon bekommen hast.


    Hm ok dann werde ich Thunderbird wieder deinstallieren. Wenn nicht einmal bekannt ist wie verschlüsselt wird und wenn es stimmen sollte das bei nicht setzen des Häkchen "Passwort speichern" das Passwort scheinbar im Klartext im Ram gehalten wird, für die gesamte Sitzung, ist das Programm, für meine jetzigen Ansichten, leider zu unsicher als das ich diesem mein Passwort anvertraue.


    Ich danke für die Hilfestellungen und falls doch noch jemand genaueres weiß würde ich mich über eine Antwort freuen.

  • Also darauf muss ich doch wirklich noch einmal antworten - auch wenn ich mir sicher bin, dass das bei dir wohl nicht fruchten wird.



    Wenn nicht einmal bekannt ist wie verschlüsselt wird

    Wenn in einem offiziellen Dokument von Mozilla dieses beschrieben wird, dann ist das auch so.
    Verlangst du etwa, dass dieses jedes Jahr oder jeden Monat wiederholt wird?
    Ganz nebenbei: Fachkundige können den zur Verschlüsselung genutzten Algorithmus auch am Chiffrat erkennen.



    und wenn es stimmen sollte das bei nicht setzen des Häkchen "Passwort speichern" das Passwort scheinbar im Klartext im Ram gehalten wird

    Ja, wie hätte es denn der Fachmann gerne?
    Bitte konkrete Vorschläge! (Siehe auch weiter unten!)



    ist das Programm, für meine jetzigen Ansichten, leider zu unsicher als das ich diesem mein Passwort anvertraue.

    Aber einem "vertrauenswürdigen" Provider dein PW anzuvertrauen, das entspricht deinen jetzigen Ansichten?


    Du solltest Briefe schreiben. (Ach ja, die kann ja der Staat auch life mitlesen. Und "Dank" des Gesetzes über die Bestandsdatenauskunft kann unser Staat auch jederzeit die Passwörter, PIN/PUK, bei Providern gespeicherte Schlüssel und andere "Geheimnisse" abfordern. Dazu reicht ja schon der Verdacht, dass du eine Ordungswidrigkeit begangen hast. Und von der Überwachungsmöglichkeit der Telefonie will ich erst gar nicht reden.)
    Also am Besten die Informationen deinen Gesprächspartnern bei laufender Toilettenspülung leise ins Ohr flüstern.


    Wenn du wirklich deine Privatsphäre und die deiner Mailpartner schützen willst, dann musst du deine gesamte Kommunikation "End 2 End" verschlüsseln.


    Letzter Satz in meiner hier letzten Antwort - für den ich mich schon im Voraus entschuldige:
    Unwissenheit ist keine Schande, Paranoia gepaart mit Dummheit ist aber ein sehr schlechtes Gespann und Beratungsresistenz ist der kleine Bruder der Dummheit!



    P.

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

  • Hallo,


    hierzu möchte ich ebenfalls noch einmal antworten, weil ich das Problem dahinter nicht wirklich verstehe. Zunächst zu den Fragen:


    der Artikel ist von 2009. Ob das wirklich noch so gehandhabt wird ist fraglich.

    Zumindest mir ist nicht bekannt, dass sich zu diesem Thema etwas geändert hätte. Das gilt wohl für die anderen Leser ebenso, sonst hätten sie sich gewiss geäußert.

    da nicht einmal klar ist um welche Verschlüsselung es sich handelt.

    Das wiederum steht klar in dem Artikel und in den bisherigen Antworten: 3DES. Das gilt für diesen Zweck nach wie vor als sicher. Sollten wir nun doch verpasst haben, dass sich das Verfahren inwischen geändert hat, dann kannst Du wohl davon ausgehen, dass man kein schlechteres implementiert hat.


    ... und wenn es stimmen sollte das bei nicht setzen des Häkchen "Passwort speichern" das Passwort scheinbar im Klartext im Ram gehalten wird, für die gesamte Sitzung, ist das Programm, für meine jetzigen Ansichten, leider zu unsicher als das ich diesem mein Passwort anvertraue.

    Hier kommt der Punkt, an dem ich Dich nicht mehr verstehe. Du übergibst Deine E-Mails unverschlüsselt Google und erlaubst ihnen, diese zu automatisiert zu lesen und unbefristet zu speichern, aber machst Dir Sorgen darüber, dass 3DES nicht sicher genug ist und dass das Passwort unverschlüsselt im RAM liegt?


    Es kommt noch etwas hinzu. Bist Du Dir bewusst, dass die E-Mails unverschlüsselt auf zahlreichen Servern und auf Deinem Rechner liegen? Sofern Du keine zusätzlichen Vorsichtsmaßnahmen triffst, kann jeder, der sich ein wenig auskennt und Zugang zu Deinem Rechner hat, diese lokal gespeicherten E-Mails lesen. Er benötigt dazu überhaupt kein Passwort, nicht einmal das Windowspasswort. Zum Lesen genügt ein Texteditor.
    Das betrifft übrigens nicht nur den Thunderbird. Das ist bei anderen Programmen ebenso, z.B. bei Outlook Express (für das aktuelle Outlook weiß ich es nicht). Es betrifft auch alle anderen Daten, die unverschlüsselt auf Deinem Rechner liegen.


    Vielleicht kannst Du ja etwas ausführlicher erläutern, wo Deine Bedenken sind. Ich kann sie unter diesen Randbedingungen nicht teilen.


    Gruß


    Susanne