Hallo,
zur Information: Thunderbird-Erweiterung - E-Mail-Verschlüsselung: Enigmail 2.0 ist da [heise/security]
Enigmail 2.0
- graba
-
28. März 2018 um 00:31 - Geschlossen
- Unerledigt
-
Ja, Enigmail 2.0 ist da und seitdem habe ich eine merkwürdige Funktion in meinem Programm:
1) Ich habe eine Mail an mich selber von @gmx.de nach @web.de verschickt, natürlich verschlüsselt und signiert. Die Passphrase wurde zum Signieren normal abgefragt.
2) Dann habe ich diese @web.de Mail abgerufen und ausgewählt. Sie wurde sofort entschlüsselt ohne das nach einer Passphrase gefragt wurde.
3) Gleiches gilt für alle anderen Mail verschiedener Konten, die alle ohne Passphrasenabfrage entschlüsselt wurden. Bei allen Schlüsseln verwende ich die gleiche Passphrase die aber in diesem Fall nur bei @gmx.de zum Signieren eingegeben wurde, bei allen anderen war keine Abfrage und keine vorherige Eingabe!
Enigmail hält jede Passphrase für 10 Minuten, wenn sie denn eingegeben wurde.
Was geht da vor? Kann mir einer weiterhelfen bzw. hat das gleiche Problem?
Ich nutze Win 10, TB 52.7.0, Enigmail 2.0 und gpg4win 3.0.3
Danke!
-
Hallo klaman,
Enigmail hält jede Passphrase für 10 Minuten.
das kannst Du doch selber einstellen wie lange Enigmail die Passphrase behält.
Gruß
EDV-Oldi -
Hallo klaman,
Enigmail hält jede Passphrase für 10 Minuten.
das kannst Du doch selber einstellen wie lange Enigmail die Passphrase behält.
Gruß
EDV-OldiJa Oldi, das ist ja auch soweit OK, aber das Enigmail mit einem Schlüssel entschlüsselt ohne die Passphrase abzufragen, ist suspekt.
-
aber das Enigmail mit einem Schlüssel entschlüsselt ohne die Passphrase abzufragen, ist suspekt.
Ja, so wie des oben beschrieben hast, dürfe das nicht sein. Enigmail 2.0 verwenden sicherlich noch nicht viele unter den ohnehin wenigen PGPlern. Vielleicht wendest du dich damit direkt an das Team von Enigmail.
-
Ich habe mir gestern wegen eines weiteren Threads dazu die 2.0 installiert. Ich beobachte seitdem ein schon fast gegenteiliges Phänomen.
Ich sende mir selbst eine verschlüsselte E-Mail von Konto A an Konto B. Zum Entschlüsseln in B wird das Passwort stets zwei Mal abgefragt. Nach der zweiten Eingabe ist dann alles ok.
Klickt man nach der ersten (richtigen) Eingabe auf Abbrechen, wird die Mail trotzdem sauber entschlüsselt.
Klickt man gleich beim ersten Mal auf Abbrechen, wird die Abfrage wiederholt. Es erscheint dann sogar eine dritte Abfrage nach dem Passwort des Absenders A, mit dessen Schlüssel je ebenfalls verschlüsselt wurde.
Kann das jemand bestätigen?
-
@Drehmoment,
ich habe nach deiner Beschreibung Senden und Empfangen nachgestellt und keinen Fehler festgestellt. Die Überprüfung hab ich wechselweise aus beiden Konten durchgespielt, Konto A u. B haben einen eigenen Key.
Dagegen wird beim ersten anklicken einer Mail und einem sofortigen Abbruch der folgenden Passphraseneingabe das Fenster noch drei mal wiederholt. Danach muss ich die "Nachricht neu laden" um das Fenster wieder zu erhalten.
Ein Tipp, einmalig nach dem Th Start im Menü sofort > "Gespeicherte Passphrase löschen".
-
ich habe nach deiner Beschreibung Senden und Empfangen nachgestellt und keinen Fehler festgestellt.
Komisch. Vielleicht teste ich bei Gelegenheit mal mit einem neuen Profil. Wobei ich das Problem auf zwei Rechnern reproduzieren kann. Da müssten beide Profile eine ähnliche Macke haben.
Dagegen wird beim ersten anklicken einer Mail und einem sofortigen Abbruch der folgenden Passphraseneingabe das Fenster noch drei mal wiederholt.
Immerhin, das tritt auch bei dir auf.
Danke für's Testen. Komische Sache ... .
-
So, ich denke, ich bin der Sache etwas näher gekommen. Es scheint mit der Erweiterung AllowHTMLTemp zusammenzuhängen.
Ich hatte zunächst ein neues Profil erstellt und rudimentär eingerichtet. Damit trat die doppelte Abfrage nicht auf. Dann habe ich das Profil vervollständigt, also weitere Konten hinzugefügt, Kalender und Adressbücher eingebunden, alles andere wieder so eingestellt, wie ich es gewohnt bin, und leider erst ganz zum Schluss AllowHTMLTemp installiert. Ab da trat der Fehler auf.
Mit aktivierten AllowHTMLTemp kann ich ihn reproduzieren. Sobald ich es deaktiviere und den Thunderbird neu starte, tritt er nicht mehr auf. Gleiches Verhalten mit den beiden alten Profilen.
Ich vermag nicht zu berurteilen, ob das an AllowHTMLTemp liegt oder an einer Änderung in Enigmail.
kienberger et all, könnte das bitte nochmal jemand testen, bevor ich Thunder und/oder Patrick B. auf eine falsche Fährte schicke?
-
Wegen Allow HTML Temp, klinke ich mich hier mal mit ein.
@Drehmoment :
- Bei dem suspekten Verhalten handelt es sich um PGP-verschlüsselte Nachrichten oder S/MIME?
- Wenn es sich um PGP handelt, dann teste mal den (fraglichen) Unterschied, wenn der Betreff verschlüsselt gesendet wird (was seit Enigmail 2.0 möglich ist) oder eben auch nicht. Man kann dies in den Einstellungen (de-)aktivieren.
- Wird die Passphrase bei Dir überhaupt für ein paar Minuten zwischengespeichert, oder soll diese bei jedem Entschlüsseln neu abgefragt werden?
Ich schaue mir das dann an. Im ersten Moment funktioniert es bei mir aber wie gewohnt. Die Passphrase wird (nur) einmal abgefragt, wenn ich eine PGP-verschlüsselte Nachricht auswähle, danach ist entsprechend meiner Einstellung für einige Minuten Ruhe.
-
Ich kann ein paar Probleme (bereits bei deaktiviertem Allow HTML Temp) bestätigen:
1.) Passphrase wird manchmal für circa 30 Sekunden nicht abgefragt, wenn ich zwischen den Mails hin und her wechsle, obwohl die Zeit auf "0" Minuten für das Zwischenspeichern gestellt ist. Ich vermute also, dass die Passphrase einfach nicht schnell genug gelöscht wird. Vielleicht liegt das an einer Zeitverzögerung an der Schnittstelle zwischen Enigmail und der eigentlichen PGP-Anwendung, die im Hintergrund ausgeführt wird.
2.) Bei pur signierten/unterschriebenen Mails wird irgendwie nur nach "Lust und Laune" am oberen Rand angezeigt, dass die Mail unterschrieben ist.
Bezüglich Allow HTML Temp:
Die konsequent doppelte Passphrasen-Abfrage kann ich bestätigen, wenn die Passphrase (entsprechend der Einstellung in Enigmail) nicht zwischengespeichert wird. Ich habe auch bereits einen Verdacht woran das liegen könnte:
Allow HTML Temp untersucht beim Auswählen/Anzeigen einer Mail den Header der Mail, um zu erkennen, ob es überhaupt einen HTML-MIME-Part gibt. Nur dann soll eigentlich der AHT-Button aktiviert werden. Vermutlich wird dadurch die Erste der beiden Passphrasen-Abfragen verursacht. Wenn ich mich recht entsinne, wird aber leider auch erst dabei erkannt, ob es eine PGP-verschlüsselte Nachricht ist. Denn genau dann kann Allow HTML Temp (aufgrund der Verschlüsselungstechnik) gar nicht erkennen, ob HTML drin ist und aktiviert den AHT-Button vorsorglich immer. Bei S/MIME ist das wesentlich besser, denn dort kann man trotz der Verschlüsselung erkennen, ob es einen HTML-MIME-Part gibt, sodass AHT den Button nur bei Bedarf korrekt aktivieren kann.
Jetzt ist die Frage: Tritt das Phänomen tatsächlich erst ab Enigmail 2.0 auf, oder war es bereits bei der 1.9er-Version genauso, nur dass es niemandem aufgefallen ist?
-
korrekt, AllowHTMLTemp spukt in die Suppe. Wenn ich das Add-on deaktiviere öffnet nach einem Abbruch der Passphraseneingabe nur noch zwei mal in Folge, war aber schon viel früher so.
Der Effekt tritt aber auch in dieser Form in einem extra frischen eröffneten Profil auf
-
AllowHTMLTemp spukt in die Suppe
Vielleicht können wir hier für die ja doch differierenden "Probleme" konkret unterscheiden, wo AHT Probleme macht, oder auch nicht. Wenn ich es richtig sehe, wird "nur" jeweils eine zusätzliche Abfrage der Passphrase hervorgerufen. Darum versuche ich mich heute Abend zu kümmern, um eine Lösung zu finden.
-
Schonmal vielen Dank, dass du dich der Sache annimmst. Ich bin inzwischen noch einen Schritt weiter gekommen. Das Problem der doppelten Passwortabfrage tritt nur dann auf, wenn ich PGP/MIME versende, also eine potentielle HTML-Mail. Die Mail selbst ist aber eine Textmail.
Mit PGP/INLINE tritt das Problem nicht aus. Das spricht wohl für den von dir erwähnten Zusammenhang.
Und ja, es kann durchaus sein, dass dieses Problem bereits mit früheren Versionen von Enigmail aufgetreten ist. Ich habe bisher stets INLINE verwendet, weil ich Mailpartner hatte, die auf Android noch immer APG verwendet haben. Da die aber nun endlich auf OpenKeyChain umgestiegen sind, habe ich Enigmail 2.0 auch auf PGP/MIME umgeschwenkt.
Zu deinen Fragen:
PGP/MIME
Betreff ist nicht geschützt.
Passphrase wird für 20 min zwischengespeichert. Für meine Tests habe ich sie aber immer von Hand gelöscht.
Im Header meiner PGP/MIME verschlüsselten Test-Mails findet sich ein Eintrag der Form:
Content-Type: multipart/encrypted;
Daran könntest du sie vielleicht vor der Entschlüsselung erkennen.
-
Ich hätte dann hier mal ein noch inoffizielles Update für Allow HTML Temp zu bieten:
- Der Code wurde so abgeändert, dass bei PGP/MIME E-Mails theoretisch vom Add-on kein entschlüsseln mehr (zusätzlich) verursacht wird und somit auch keine zusätzliche/doppelte Passphrasen-Abfrage verursacht wird, falls man diese nicht vorübergehend speichern lässt. Bei mir ist jetzt bei sämtlichen, zigfachen Tests das Problem behoben.
- Außerdem habe ich für den Einstellungen-Dialog gleich noch was am Code geändert, so dass der Dialog nun zumindest bis hin zu Thunderbird 60 Beta, wieder korrekt angezeigt wird.
Frohe Ostern
-
Ich habe die Version 5.4 gerade mit ca. 10 PGP/MIME-Mails getestet. Die Passwortabfrage kam jeweils nur ein Mal.
Soweit ich es beurteilen kann, ist das Problem damit behoben. Das freut mich. Vielen Dank für den raschen Fix!
Nach meinem Verständnis heißt das nun auch, dass das Problem nicht spezifisch für Enigmail 2.0 ist. Damit ist das hier eigentlich der falsche Faden. Wollt ihr das vielleicht abtrennen und ihm eine eigene Überschtrift wie z.B. "Enigmail: Passphrase wird doppelt abgefragt" geben? Dann könnte es von anderen besser gefunden werden.
Andererseits ist das auch irgendwie egal. Mit dem Autoupdate auf die 5.4. sollte das Thema in ein paar Tagen erledigt sein.
Noch zu Problem von klaman. Ich habe mir für den Test zwei neue Schlüsselpaare generiert und für beide dieselbe Passphrase verwendet. Das Cachen habe ich auf 20 min eingestellt. Das Problem, dass die Eingabe einer Passphrase für Konto A auch gleich Konto B freischaltet, habe ich nicht reproduzieren können.
Ich glaube auch, dass nicht Enigmail die Passphrase zwischenspeichert. Ist es nicht so, dass GnuPG ab Version 2 das Cachen mittels einen Agents selbst übernimmt? Jedenfalls habe ich mir irgendwann extra eine gpg-agent.conf angelegt, um die Zeit einstellen zu können.
-
Thunder
30. August 2020 um 14:38 Hat das Thema aus dem Forum OpenPGP Verschlüsselung & Unterschrift nach OpenPGP & Enigmail in Thunderbird-Versionen bis 68.* verschoben. -
Community-Bot
3. September 2024 um 20:30 Hat das Thema geschlossen.
