Um Rückfragen vorzubeugen, bitten wir um folgende Angaben:
* Thunderbird-Version: 38.5.1
* Betriebssystem + Version: Linux, Windows
(Rest irrelevant)
Hallo zusammen,
da ich hier nichts kommentieren darf:
Angeblich ist TB 38.5.1 nur eine neu signierte Ausgabe von 38.5:
Hier ist von "Windows-Builds" die Rede, was ist mit Linux & Co - da gibt es ja auch Version 38.5.1?
Und wieso sehe ich hier immer noch "sha1"?
Grüße, muzel
Hallo muzel,
Und wieso sehe ich hier immer noch "sha1"?
vielleicht ist dies analog zu diesen Informationen zu sehen: Mozilla veröffentlicht Firefox 43.0.4
Hallo graba,
vielleicht ist dies analog zu diesen Informationen zu sehen: Mozilla veröffentlicht Firefox 43.0.4
scheint mir ne ganz andere Baustelle zu sein. Es geht nicht darum ob FF (oder TB) SHA1-Zertifikate, z.B. von https-Webseiten akzeptieren, was ja schon etwas anachronistisch ist, sondern darum, daß das Programm selbst (TB oder FF) digital signiert, also vertrauenswürdig ist. Da wurde nun vernünftigerweise endlich auf SHA256 gewechselt - oder eben doch nicht? Oder versteh ich was falsch?
Grüße, muzel
Hi muzel,
Quellcode einer von mir selbst an mich gesendeten Mail:
Dass ich grundsätzlich meine Mails mit S/MIME verschlüssele (also kein GnuPG) ist ja bekannt.
Es scheint also so zu sein, dass der TB jetzt auch sha-256 verwendet.
Nur mal ganz ehrlich:
JA, sha-1 gilt als gebrochen. Gebrochen heißt in der Kryptologie, dass es mit riesigem Aufwand möglich ist, Kollissionen (also eine zweite Datei mit gleichem Hashwert) zu erzeugen. Nur diese Datei besteht aus sinnlosem binären Müll. Sinn macht eine Kollission aber erst dann, wenn ein Angreifer einen zumindest lesbaren Text mit ein ganz wenig "Sinn" erzeugen kann, welchem der Angreifer dem Empfänger dann unterschiebt - und den der Empfänger auch als "richtig" anerkennt.
Und genau davon sind alle, Wissenschaftler wie Angreifer, noch Jahre entfernt.
JA, es ist trotzdem richtig, konsequent veraltete Algorithmen auszumerzen. Ohne Frage.
Aber ich hätte es als viel wichtiger empfunden, wenn der oder die noch verbliebenen (und genau dazu auch fähigen!) Entwickler in der S/MIME-Komponente endlich den total veralteten (aber immer noch niemals kryptologisch gebrochenen!) symmetrischen 3DES-Algorithmus gegen den zeitgemäßen AES ausgetauscht hätten.
Der TB kann schon lange mit AES verschlüsselte Mails lesen. Aber er ist von allen "nennenswerten" MUA der mittlerweile einzige, der nicht initial mit AES verschlüsselt. Er nimmt, warum auch immer, immer noch 3DES.
Selbst die Mail-App auf meinem Schlauf-Fernsprechapparat (CyberMail) verschlüsselt initial mit AES, kann aber wenigstens immer noch mit 3DES verschlüsselte Mails (eben die vom hinterherhinkenden Thunderbird) entschlüsseln.
Zufall? Absicht? Desinteresse?
Wer weiß ... .
MfG Peter
Stimmt, aneinander vorbeigeredet. Sorry.