Geheimer PGP-Schlüssel Format V3 unter GnuPG 2.1. nicht mehr verwendbar?

    * Thunderbird-Version: 38.8.0
    * Betriebssystem + Version: Ubuntu 16.04.
    * PGP-Software / PGP-Version: GnuPG 2.1.11, Enigmail 1.9.2.

    Ich möchte meinen vor 15 Jahren erzeugten PGP-Schlüssel (Format V3, IDEA-Algorithmus und MD5-Hash) weiter (nur zur Entschlüsselung) verwenden, vermute aber, dass GnuPG 2.1. das V3-Format nicht mehr unterstützt. Unter Ubuntu 14.04. funktionierte noch alles.

    Beim Entschlüsseln mit Enigmail (unter Thunderbird) kommt die Fehlermeldung
    [GNUPG:] BEGIN_DECRYPTION
    [GNUPG:] DECRYPTION_FAILED
    gpg: Entschlüsselung fehlgeschlagen: Kein geheimer Schlüssel
    [GNUPG:] END_DECRYPTION

    Der Schlüssel ist aber im Schlüsselbund:
    Aktuell wird bei folgendem Befehl der geheime Schlüssel in meinem Schlüsselbund angezeigt:
    gpg --list-secret-keys

    Bei diesem Befehl wird er jedoch nicht angezeigt:
    gpg2 --list-secret-keys

    Auch in Seahorse 3.18.0 wird der Schlüssel nicht angezeigt.

    --allow-weak-digest-algos half übrigens nicht.

    Wie kann ich den Schlüssel weiter zum Entschlüsseln unter gpg2.1 nutzen?

    Edited 2 times, last by thubuntu (June 3, 2016 at 2:32 PM).

    Quote from thubuntu

    Wie kann ich den Schlüssel weiter zum Entschlüsseln unter gpg2.1 nutzen?

    Meines Wissen nach gar nicht. GPG 2.1 unterstützt die alten PGP-2 (v3) Keys nicht mehr. Siehe https://gnupg.org/faq/whats-new-in-2.1.html

    Ich sehe auf die Schnelle folgende Möglichkeiten, die alten E-Mails weiterhin lesbar zu halten:

    • Du kannst zwei Versionen von GPG parallel installieren. Du musst dann aber Enigmail entweder von Hand umstellen oder gleich zwei Profile anlegen.
    • Du kannst die E-Mails entschlüsselt speichern.

    Hallo,

    ich will mich ja nicht mehr mit GnuPG befassen, aber vielleicht ist auch folgende Idee ein gangbarer Weg. (Das ist nur eine Idee, nix geprüft!)
    Ich müsste doch (vielleicht) mit openSSL aus dem vorhandenen secret key den eigentlichen privaten Schlüssel extrahieren können.
    Und dann wieder zu einem secret key in dem aktuellen Format konvertieren. Zumindest wäre das einen Versuch wert.
    (Bitte nicht allzusehr schlagen, wenn diese Idee eine "dumme" ist! ;) )

    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

    Interessante Idee. Einen Versuch wäre es vielleicht wert. Mit OpenSSL lassen sich zumindest Schlüssel zwischen OpenSSL, OpenSSH und GnuPG konvertieren. Ob das auch für alte PGP-Schlüssel gilt, und ob das überhaupt funktionieren kann, weiß ich nicht. So tief kenne ich mich mit den Interna von PGP und GnuPG nicht aus.

    Aus dem Bauch heraus fallen mir ein paar mögliche Showstopper ein: IDEA und MD5, die beide nicht bzw. nicht mehr unterstützt werden. Bei IDEA geht um lizenzrechtliche Dinge. Entsprechende Module lassen sich aber nachrüsten. Soweit ich weiß, ist das für den privaten Gebrauch auch erlaubt. Bei MD5 geht meines Wissens aus Sicherheitsgründen nichts mehr.

    Hallo Susanne,

    Deswegen schrieb ich ja auch, dass ich versuchen würde, den reinen private key zu extrahieren. Dies ist ein reiner rsa-Key und hat nichts mit der dann von PGP genutzten internen symm. Verschlüsselung zu tun. Diese ist rein im eigentlichen Programm verankert. Und auch die angewandte Methode der Signatur spielt IMHO keine Rolle. Auch den public key können wir vergessen, denn mit diesem uralten Schlüssel soll(te) ja auch niemand mehr verschlüsseln. Es geht ja nur ums Öffnen alter Mails.

    Aber wie gesagt, alles rein theoretisch, denn ich will mich ja ... . ;)

    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

    Hallo Peter,

    Quote from Peter_Lehmann

    Dies ist ein reiner rsa-Key und hat nichts mit der dann von PGP genutzten internen symm. Verschlüsselung zu tun.

    schon klar. Allerdings wurde für die symmetrische Verschlüsselung IDEA verwendet. Es ist aber gut möglich, dass IDEA bei Ubuntu nach wie vor mitgeliefert wird. GnuPG macht es nicht. Siehe https://www.gnupg.org/faq/why-not-idea.html

    Einen Versuch wäre es wert. Und wenn thubuntu es hinbekommt und uns teilhaben lässt, haben wir alle was davon.

    Gruß

    Susanne

    OK, jetzt habe ich es erst geschnallt.
    Es geht nicht um den Schlüssel, sondern darum, dass das aktuelle GnuPG kein IDEA mehr benutzen kann. Wobei die Frage ist, ob dies auch nicht für das Entschlüsseln alter Mails trotzdem möglich ist. Sozusagen "Fallback".
    In S/MIME sind fürs Entschlüsseln ja auch noch alte Algorithmen integriert.
    (Unverständlicherweise verschlüsselt der TB ja immer noch mit dem uralten 3DES. Obwohl er die vom Smartphone mit CipherMail gesendeten und mit AES-256 verschlüsselten Mails problemlos lesen kann. Eine alte TB-Version konnte auf diese Mails auch ohne Nutzeraktion wieder mit AES verschlüsselt antworten. Es wird wohl das Geheimnis der noch verbliebenen "Macher" des TB bleiben, warum sie das nicht endlich anpacken. NEIN, ich werde jetzt nicht meine Gedanken dazu äußern ;-) )

    MfG Peter

    Thunderbird 45.8.x, Lightning 4.7.x, openSUSE Tumbleweed, 64bit
    S/MIME, denn ich will bestimmen, wer meine Mails lesen kann.
    Nebenbei: die Benutzung der (erweiterten) Suche, und von Hilfe & Lexikon ist völlig kostenlos - und keinesfalls umsonst!
    Und: Ich mag kein ToFu und kein HTML in E-Mails!

    Hallo zusammen,

    dann auch noch von mir zwei Einwürfe:
    - warum gpg 2.1.* - ist die Version überhaupt schon stabil - ich entsinne mich, daß für Enigmail eher die 2.0.* (und leider nicht mehr 1.4.*) empfohlen wird (wurde)?
    - das IDEA-Patent ist 2011 abgelaufen, somit sollte der Algorithmus frei nutzbar sein. Unter Windows gab es iirc eine IDEA.DLL, die man GnuPG problemlos "unterschieben" konnte, sicher gibts auch für Linux irgendeine Library und/oder nen Compiler-Schalter, schlimmstenfalls müßte man gpg selbst übersetzen, was aber keine große Hürde ist, jedenfalls habe ich es bei 1.4.* und 2.0.* meistens problemlos hinbekommen.

    Gruß, muzel

    Hallo muzel,

    komisch, ich dachte, ich hätte vorhin eine Antwort geschrieben. Ich musste meinen PC etwas überstürzt herunterfahren, vielleicht hatte ich nur die Vorschau an. Mal schauen, ob ich's noch zusammbringe ...

    Quote from muzel

    das IDEA-Patent ist 2011 abgelaufen, somit sollte der Algorithmus frei nutzbar sein.

    Ja, das stimmt. Hab' ich bisher nicht gewusst. In der US-Wikipedia findet sich auch ein Hinweis darauf. Im zugehörigen Artikel in der deutschen leider nicht:

    Quote


    For a long time it did not support the IDEA encryption algorithm used in PGP. It was in fact possible to use IDEA in GnuPG by downloading a plugin for it, however this might require a license for some uses in countries in which IDEA was patented. Starting with versions 1.4.13 and 2.0.20, GnuPG supports IDEA because the last patent of IDEA expired in 2012.

    Quelle: https://en.wikipedia.org/wiki/GNU_Privacy_Guard

    Außerdem gibt es dort noch einen Link auf folgende Anmerkunf von Werner himself:

    Quote


    IDEA is now included to get rid of all the questions from folks eithertrying to decrypt old data or migrating keys from PGP to GnuPG. It is more or less a read-only algorithm, in that it won't go into the key preferences of new keys by default.

    Quelle: http://lists.gnupg.org/pipermail/gnup…ber/045844.html

    Demnach gibt es also eine Möglichkeit, die Schlüssel zu migrieren.


    Quote from muzel

    warum gpg 2.1.*

    Ich hatte das gar nicht infrage gestellt. Aber Du hast recht. Das wäre jetzt allerdings fei scho ein Ding, wenn thubuntu gar keine Not hätte, die 2.1 zu verwenden.

    Gruß

    Susanne

    GnuPG 2.1. ist Standart bei Ubuntu 16.04. (und ab sofort für die nächsten Jahre eine alte Version zu verwenden ist ja eigentlich nur eine Notlösung).

    Mir würde es helfen, wenn mir jemand sagen könnte, ob und wie man einen alten IDEA-Key bzw. Format V3-Key in einen unter GnuPG 2.1. verwendbaren Key umwandeln/transformieren kann.

    Und ob, wie muzel schreibt, es für Linux "irgendeine Library und/oder nen Compiler-Schalter" gibt, oder wie "man gpg selbst übersetzen" kann. Und wie man den "reinen private key extrahieren" kann, um einen neuen GnuPG-Schlüssel zu erstellen. So viel Erfahrung habe ich leider nicht.

    Quote from thubuntu

    Mir würde es helfen, wenn mir jemand sagen könnte, ob und wie man einen alten IDEA-Key bzw. Format V3-Key in einen unter GnuPG 2.1. verwendbaren Key umwandeln/transformieren kann.


    Ich denke man der bisherigen Konversation entnehmen, dass die bisher Beteiligten Dir dabei nicht helfen können. Die Idee von Peter klingt nicht schlecht. Aber bisher hat das keiner von uns selbst gemacht.
    Vielleicht wendest Du Dich dazu ein Forum, dessen Schwerpunkt auf GnuPG oder PGP liegt. Dabei kann aber auch herauskommen, dass es gar nicht möglich ist.

    Wie ich Dir aber oben schon geschrieben haben, kannst Du mehrere Versionen von GnuPG parallel betreiben. Wenn Du also keinen zwingenden Grund für die 2.1 hast, dann wäre das die einfachste Lösung. Auch wenn Dich das eigentliche Problem dann in ein paar Jahren wieder einholen wird.
    Selbst kompilieren musst Du dazu nichts. IDEA ist inzwischen bei GnuPG dabei, wie Du ebenfalls den Beiträgen oben entnehmen kannst.

    Wenn Du zwingend die 2.1 benötigst, dann würde ich an Deiner Stelle die alten E-Mails mit der 2.0.x entschlüsselt abspeichern und mit der 2.1.x ein neues Schlüsselpaar erstellen, das Du von da ab nutzt. Das ist nach mehr als 10 Jahren vielleicht eh an der Zeit.