Zwei Schlüsselpaare für gleiche Konten

    Um Rückfragen vorzubeugen, bitten wir um folgende Angaben:

    • Thunderbird-Version: 60.3.0
    • Betriebssystem + Version: Linux/Windows
    • Kontenart (POP / IMAP):IMAP/POP
    • Postfachanbieter (z.B. GMX): t-online/vodafone
    • S/MIME oder PGP: PGP
    • Eingesetzte Antivirensoftware:
    • Firewall (Betriebssystem-intern/Externe Software):

    Hallo,

    ein e-Mai-Partner von mir hat auf zwei Rechnern (UBUNTU und Windows) mit jeweils zwei Schlüsselpaaren für jeweils zwei identische Konten (wobei ein Konto für PGP eine zweite Identität des anderen ist).

    D.h. ein Schlüsselpaar auf UBUNTU und ein anderes auf Windows. Auf beiden Rechnern sind die gleichen Konten eingerichtet.


    Er hat bei seinen zahlreichen Versuchen jede Menge Schlüssel auf den Key-Server hochgeladen. Aber nur für eine e-Mail Adresse (mit der anderen e-Mail Adresse als zweiter Identität) gibt es zwei Einträge. die sich nur in der ID-Kennung (Fingerprint) unterscheiden (eine für UBUNTU und die andere für Windows).

    Ich habe mir beide öffentliche Schlüssel importiert.


    Wenn ich ihm nun eine verschlüsselte e-Mail (z.B. an beide Konten) schreibe, dann wird hoffentlich für beide Identitäten verschlüsselt. Er aber kann angeblich unter Windows die e-Mail nicht lesen.

    Vielleicht muß er da auf "Entschlüsseln" drücken. Irgendwas funktioniert da wohl nicht.


    Ist diese Art mit zwei Schlüsselpaaren für ein Konto überhaupt in Thunderbird/enigmail unterstützt?


    Oder wird bei verschlüsseltem Versenden nicht jeweils für beide ID's (Fingerprint) verschlüsselt?


    Gruß

    Ch. Hanisch

    Hi,

    sieh dir einfach mal ein den Enigmail-Einstellungen den Tab "Schlüsselauswahl" an.

    Und die Enigmail-Sicherheitsinfo der gesendeten Mail, da sollte so etwas zu lesen sein wie:

    "Hinweis: Die Nachricht wurde mit folgenden Benutzer-IDs / Schlüsseln verschlüsselt:..."

    Gruß, muzel

    Hallo,

    Quote from muzel

    sieh dir einfach mal ein den Enigmail-Einstellungen den Tab "Schlüsselauswahl" an.


    Und die Enigmail-Sicherheitsinfo der gesendeten Mail, da sollte so etwas zu lesen sein wie:

    "Hinweis: Die Nachricht wurde mit folgenden Benutzer-IDs / Schlüsseln verschlüsselt:..."

    Zum Tab "Schlüsselauswahl" siehe Anhang. Da habe ich nichts verändert. Es müßte also für beide Benutzer-ID's verschlüsselt werden.


    Leider komme ich z.Zt. an die Enigmail-Sicherheitsinfos nicht ran.

    Jedenfalls kommt die Nachricht, daß der private Schlüssel nicht gefunden wird.


    Meine Frage: Kann das mittels "Entschlüsseln" behoben werden?


    Gruß

    Ch. Hanisch

    Quote from Hanisch

    ...daß der private Schlüssel nicht gefunden wird.


    Meine Frage: Kann das mittels "Entschlüsseln" behoben werden?

    Nein. Die Entschlüsselung ist schon fehlgeschlagen, weil der passenden private Schlüssel fehlt - oder etwas ähnliches, manchmal sind die Fehlermeldungen auch leicht irreführend, z.B. wenn der gpg-agent, der für die Passphrase zuständig ist, Probleme hat.

    Da hilft ein Selbsttest, verschlüsselte Mail an die eigene Adresse.

    - m.

    Hallo,

    Quote from muzel

    Da hilft ein Selbsttest, verschlüsselte Mail an die eigene Adresse.

    Beim Absender ist alles in Ordnung.

    Wenn ich eine verschlüsselte e-Mail an den Windows-Rechner schicke mit der Benutzer-ID für den öffentlichen Schlüssel, der für diesen Schlüsselbund dort zuständig ist, funktioniert es.


    Aber wenn ich beide öffentlichen Schlüssel (für UBUNTU und Windows) in meinem Schlüsselbund drin lasse, kann er die e-Mail auf dem Windows-Rechner nicht öffnen.


    Gruß

    Ch. Hanisch

    Quote from Hanisch

    Oder wird bei verschlüsseltem Versenden nicht jeweils für beide ID's (Fingerprint) verschlüsselt?

    Ich würde mich nicht darauf verlassen. Du kannst das aber selbst testen: wähle unter Schlüsselauswahl "Immer (auch) manuell" und schaue Dir an, welche Keys genutzt werden (markiert durch Haken). Bei Bedarf kannst Du dann im Einzelfall weitere Keys aktivieren.


    Allgemeiner Hinweis: um mehrere Schlüssel auf derselben UID zu nutzen, sollten lieber Subkeys genutzt werden. Damit kann derselbe primäre Schlüssel auf mehrere Geräte aufgeteilt werden und bei Bedarf partiell widerrufen werden. Ein weiterer Vorteil: auch wenn weitere Geräte dazukommen, müssen die Mailpartner nichts weiter tun als den Schlüssel aktualisieren.

    Moin,

    genau, den Punkt "immer auch manuelle Schlüsselauswahl" hatte ich weiter oben im Sinne - und nach wie vor wäre interessant, was denn nun in den EM-Sicherheitseinstellungen der versendeten Mail zu lesen ist.

    [OT generalsync ] Wie praktikabel ist das mit Subkeys? Manch einer ist schon mit einfachen Schlüsselpaaren überfordert und schickt mir mal eben das komplette Schlüsselpaar zu, woraufhin ich ihm erklären muss, daß er nun alles wegwerfen, widerrufen, und von vorn anfangen kann.

    Für "Anfänger" ist es vielleicht besser, genau ein Schlüsselpaar eineindeutig einer Mailadresse zuzuordnen, dann kann es keine Probleme bei der Zuordnung geben.

    Gruß muzel

    Die Beschreibung im Eröffnungsposting ist für mich etwas schwer zu verstehen. Ich weiß daher nicht, ob ich diese korrekt interpretiert habe.

    Mein gegenwärtiger Eindruck ist, dass hier einiges unstimmig ist. Möglicherweise werden auch nur die Begriffe nicht korrekt verwendet, oder ich selbst habe ein falsches Verständnis davon.


    Nach meinem Dafürhalten ist es gemäß der "reinen Lehre" so:


    Man verwendet Identitäten, um einem Schlüssel mehrere E-Mailadressen (UIDs) zuzuweisen.

    Die Absicht dahinter ist die, nicht für jede E-Mailadresse eigene Schlüssel verwalten zu müssen sondern ein Schlüsselpaar für mehrere E-Mailadressen benutzen zu können.


    Man verwendet Unterschlüssel (subkeys), um je nach Verwendungszweck unterschiedliche Schlüssel zu benutzen.

    Beispielsweise erzeugt man sich einen Hauptschlüssel, der nur Zertifizierung dient und ansonsten nicht benutzt wird. Darunter erzeugt man zusätzlich einen oder mehrere Unterschlüssel zum Verschlüsseln und weitere zum Signieren.

    Das hat u.a. den Vorteil, dass man Unterschlüssel zurückziehen und/oder erneuern kann ohne den Vertrauensstatus dabei zu verlieren.


    Beide verfolgen nicht den Zweck, einer E-Mailadresse auf unterschiedlichen Geräten auch unterschiedliche Schlüssel zuzuweisen. Offen gestanden wüsste ich auch nicht, welchen Mehrwert das haben sollte.


    Verschlüsselung ist für viele Benutzer kompliziert. Im einfachsten Fall genügt es, zu jeder E-Mailadresse ein Schlüsselpaar zu erzeugen und dieses auf allen Geräten zu verwenden. Damit vermeidet man Probleme, wie das hier geschilderte.

    Die Verwendung von Identitäten und Unterschlüsseln ist meiner Ansicht nach eher etwas für Fortgeschrittene.


    Noch etwas erscheint mir unstimmig. Das Fehlen des privaten Schlüssels hat nichts mit dem Empfänger und seinem Schlüsselwirrwarr zu tun. Dies ist ein Problem in der Installation bei Hanisch .

    Hallo,

    Die Sache mit den Subkeys kann man vergessen, viel zu kompliziert!

    Als wenn PGP nicht schon kompliziert genug wäre.


    Das Fehlen des Privaten Schlüssels beim Empfänger ist einem "falschen" öffentlichen Schlüsse bei Absender geschuldet und ist kein Problem mit meiner Installation. Der Empfänger kann mit seinem privaten Schlüssel die e-Mail - vom Absender mit einem unpassenden öffentlichen Schlüssel verschlüsselt - nicht lesen.

    Von den beiden öffentlichen Schlüsseln in meinem Key-Ring wurde nur der erste (für UBUNTU) zum Verschlüsseln verwendet.


    Mein e-Mail Partner hat aber auf jedem Rechner (UBUNTU und Windows) jeweils ein Schlüssselpaar für seine e-Mail Adressen generiert. Ob das nun gut ist, sei dahingestellt.

    Natürlich hätte er einfach ~/.gnupg von einem Rechner auf den anderen kopieren können und damit nur ein Schlüsselpaar auf beiden Rechnern gehabt.

    Auf der Kopie müssen die Rechte dann neu gesetzt werden:

    chmod 700 .gnupg

    rm ~/.gnupg/*.lock

    Mit dem Krusader -> Bearbeiten -> Eigenschaften -> Berechtigungen -> Erweiterte Berechtigungen -> Alle Haken raus bis auf die drei in der obersten Reihe.



    Ich habe das Problem nun so gelöst:


    Enigmail -> Einstellungen -> Schlüsselauswahl -> Empfängerregeln bearbeiten -> Hinzufügen -> beide öffentlichen Schlüssel für die Empfänger e-Mail


    Jetzt wird beim Versenden für beide öffentlichen Schlüssel des Empfängers verschlüsselt und er kann die e-Mail dann auch auf beiden Rechnern lesen.


    Allerdings gibt es bei meinem e-Mail Partner nun noch das Problem, daß er in IMAP "Gesendet" seine verschlüsselt versendeten e-Mails jeweils auf dem anderen Rechner (UBUNTU bzw. Windows) auch noch lesen kann.


    Dazu muß er auf beiden Rechnern in seinen dortigen Key-Ring z.B. vom Key-Server seinen jeweils zum anderen Rechner passenden öffentlichen Schlüssel importieren.

    Und dann noch:

    Enigmail -> Einstellungen -> Schlüsselauswahl -> Empfängerregeln bearbeiten -> Hinzufügen -> <den öffentlichen Schlüssel des jeweils anderen Rechners>


    Testen: Von beiden Rechnern eine an sich selbst verschlüsselte e-Mail senden, die dann auf beiden Rechnern lesbar ist.


    Gruß

    Ch. Hanisch

    Edited 5 times, last by Hanisch ().

    Quote from Hanisch

    Das Fehlen des Privaten Schlüssels beim Empfänger ist einem "falschen" öffentlichen Schlüsse bei Absender geschuldet

    Soweit ich die bisherigen Beiträge verstanden habe, passt das nicht zusammen.

    muzel hatte den Vorschlag unterbreitet, in einer von dir gesendeten E-Mail nachzuschauen:


    Quote from muzel

    Und die Enigmail-Sicherheitsinfo der gesendeten Mail,


    Dein Antwort:

    Quote from Hanisch

    Leider komme ich z.Zt. an die Enigmail-Sicherheitsinfos nicht ran.

    Jedenfalls kommt die Nachricht, daß der private Schlüssel nicht gefunden wird.

    Zum Entschlüsseln der von dir an deinen Bekannten gesendeten E-Mail benötigst du deinen privaten Schlüssel. Das hat mit dem öffentlichen Schlüssel des Empfängers nichts zu tun.


    Quote from Hanisch

    Ob das nun gut ist, sei dahingestellt.

    Dass es keine gute Idee ist, siehst du ja gerade. Vom zusätzlichen Verwaltungsaufwand abgesehen, muss nun jeder, der deinem Bekannten eine verschlüsselte E-Mail senden will, mit den verschiedenen Schlüsseln hantieren bzw. seine Mailclients konfigurieren. Das wäre alles nicht nötig.


    Ich sehe gerade, dass du den Thread als "erledigt" markiert hast. Das Problem scheint für dich vorerst ja auch gelöst zu sein.

    Hallo,

    Quote from Solaris
    Quote from Hanisch

    Das Fehlen des Privaten Schlüssels beim Empfänger ist einem "falschen" öffentlichen Schlüsse bei Absender geschuldet

    Soweit ich die bisherigen Beiträge verstanden habe, passt das nicht zusammen.


    Zum Entschlüsseln der von dir an deinen Bekannten gesendeten E-Mail benötigst du deinen privaten Schlüssel. Das hat mit dem öffentlichen Schlüssel des Empfängers nichts zu tun.

    Das paßt schon alles zusammen.

    Es geht nicht darum, daß ich die gesendete e-Mail bei mir nicht entschlüsseln kann; sie ist ja auch mit meinem öffentlichen Schlüssel standardmäßig verschlüsselt.


    Aber die gesendete e-Mail war mit dem öffentlichen Schlüssel für seinen UBUNTU-Rechner verschlüsselt, daher fehlte auf seinem Windows-Rechner der dazu passende private Schlüssel.


    Offensichtlich nimmt Enigmail aus dem Schlüsselbund für eine e-Mail Adresse (bei Vorhandensein mehrerer öffentlicher Schlüssel für diese e-Mail Adresse) immer nur die erste zum Verschlüsseln.


    Das ist aber von Enigmail total suboptimal.

    Denn der Fall, daß ein Nutzer genau so vorgegangen ist, wie hier beschrieben, dürfte gar nicht so selten vorkommen.

    Wenn ein Nutzer einen weiteren Rechner installiert und dort für seine e-Mail Konten auch ein neues Schlüsselpaar generiert, dann haben wir sofort den hier vorgestellten Fall.


    Allerdings müssen seine e-Mail Partner dann beide Schlüssel importieren (vom Key-Server) und dann noch machen:

    Enigmail -> Einstellungen-> Schlüsselauswahl -> Empfängerregeln bearbeiten -> Hinzufügen -> <beide öffentlichen Schlüssel des Partners>


    Das ist nun noch eine weitere Variante der unglaublich komplizierten Anwendung von PGP.


    Gruß

    Ch. Hanisch

    Quote from Hanisch

    Das paßt schon alles zusammen.

    Tut mir leid, für mich passt das immer noch nicht.

    Quote from Hanisch

    daher fehlte auf seinem Windows-Rechner der dazu passende private Schlüssel.

    Es ging oben nicht um seinen Rechner sondern um eine E-Mail in dem Ordner "Gesendet" auf deinem Rechner. Dort kannst du selbst nachschauen, mit welchen Schlüsseln die gesendete Nachricht verschlüsselt wurde.


    Wenn dabei, wie du oben geschrieben hast, die Fehlermeldung kommt, dass der private Schlüssel fehle, dann fehlt entweder dein eigener privater Schlüssel oder die E-Mail wurde erst gar nicht zusätzlich mit deinem öffentlichen Schlüssel verschlüsselt.


    Das Vorgehen, für jedes Gerät eigene Schlüsselpaare für ein und dieselbe E-Mailadresse zu verwenden, ist nicht empfehlenswert. Ich hoffe, es findet keine Nachahmer.


    Aber egal, du hast ja einen Weg gefunden, und damit soll es für mich gut sein.

    Hallo,

    Es ging immer nur um seinen Rechner und nicht um meinen Ordner "Gesendet".


    Natürlich habe ich in meinem Ordner "Gesendet" bei der versendeten e-Mail unter

    "Details" -> Enigmail-Sicherheitsinfo...

    nachgeschaut und gefunden, daß nur für einen öffentlichen Schlüssel (außer meinem) verschlüsselt wurde.


    Allerdings irritiert mich dort links die Angabe der Benutzer-ID 0x... (18 Zeichen), die mit irgendeinem Fingerprint nicht zusammenpaßt.


    Gruß

    Ch. Hanisch




    Edited once, last by Hanisch ().

    Erst schreibst du

    Quote from Hanisch

    Leider komme ich z.Zt. an die Enigmail-Sicherheitsinfos nicht ran.

    Jedenfalls kommt die Nachricht, daß der private Schlüssel nicht gefunden wird.

    und jetzt auf einmal, 9 Beiträge später:

    Quote from Hanisch

    Natürlich habe ich in meinem Ordner "Gesendet" bei der versendeten e-Mail unter

    "Details" -> Enigmail-Sicherheitsinfo...


    nachgeschaut und gefunden, daß nur für einen öffentlichen Schlüssel (außer meinen) verschlüsselt wurde.

    Du willst uns nicht etwa veralbern, oder?


    Ich verabschiede mich damit.

    Hallo,

    Zitat von Hanisch


    Quote

    Leider komme ich z.Zt. an die Enigmail-Sicherheitsinfos nicht ran.


    Jedenfalls kommt die Nachricht, daß der private Schlüssel nicht gefunden wird.

    Das bezieht sich natürlich auf den Rechner meines e-Mail Partners und nicht auf meinen Rechner.

    Entschuldigt bitte, aber wie kann man das anders verstehen, an die Einigmail-Sicherheitsinfos auf meinem Rechner komme ich natürlich immer ran.


    Ich meinte die Enigmail-Sicherheitsinfos auf dem Rechner meines e-Mail Partners.



    Gruß

    Ch. Hanisch

    Quote from muzel

    Für "Anfänger" ist es vielleicht besser, genau ein Schlüsselpaar eineindeutig einer Mailadresse zuzuordnen, dann kann es keine Probleme bei der Zuordnung geben.

    Dem kann ich nur zustimmen.


    Das Einrichten und Pflegen eines Schlüssels mit mehreren Subkeys ist deutlich aufwändiger als die direkte Verwendung eines "normalen" Schlüssels. Wenn man aber (aus welchen Gründen auch immer) unterschiedliche Schlüssel auf derselben UID nutzen will, sind Subkeys sehr viel praktischer. Insbesondere kann auch ein Anfänger Mails an einen Schlüssel mit Subkeys senden, die Komplexität bleibt also beim Schlüsselinhaber. Bei mehreren primären Schlüsseln muss dagegen jeder einzelne Mailpartner mehr Aufwand treiben.


    Quote from Hanisch

    Allerdings irritiert mich dort links die Angabe der Benutzer-ID 0x... (18 Zeichen), die mit irgendeinem Fingerprint nicht zusammenpaßt.

    Das ist vermutlich die ID des verwendeten Subkeys. Auch bei einem "normalen" Schlüssel wird die Verschlüsselung intern mit einem Subkey durchgeführt. Das ermöglicht das nachträgliche Umsteigen auf komplexere Subkey-Strukturen und war bei einigen alten Verschlüsselungsverfahren auch technisch notwendig. Ich bin auch der Meinung, dass hier (zusätzlich!) die Anzeige des primären Schlüssels sinnvoll wäre, aber das ist eine andere Diskussion...


    Quote from Hanisch

    Offensichtlich nimmt Enigmail aus dem Schlüsselbund für eine e-Mail Adresse (bei Vorhandensein mehrerer öffentlicher Schlüssel für diese e-Mail Adresse) immer nur die erste zum Verschlüsseln.


    Das ist aber von Enigmail total suboptimal.

    In Deiner Situation, ja. In der anderen Situation ist es dagegen essentiell, dass das genau so passiert. Nimm folgendes an:

    • Nutzer A richtet PGP neu ein, es gibt aber noch einen alten (kompromittierten) Schlüssel. Da Nutzer A seinen Schlüssel verlegt hat, kann er nicht widerrufen werden, obwohl er kompromittiert wurde.
    • Nutzer B will eine Email an Nutzer A schreiben, hat aber noch den alten Schlüssel.
    • Nutzer B importiert den neuen Schlüssel und schreibt eine verschlüsselte E-Mail an A.

    Es gibt nun drei Möglichkeiten, was passieren könnte:

    1. Enigmail verschlüsselt nur mit dem aktuellsten Schlüssel. Das ist das in diesem Fall gewünschte Verhalten.
    2. Enigmail verschlüsselt nur mit dem kompromittierten Schlüssel. Das würde zumindest auffallen, da die Mail beim Empfänger nicht lesbar ist.
    3. Enigmail verschlüsselt mit beiden Schlüsseln. Jede angeblich verschlüsselte Mail ist kompromittiert, ohne das die Mailpartner davon viel mitbekommen (da ja alles "wie erwartet" funktioniert).

    In meinem Umfeld ist diese Situation schon oft eingetreten. Eine mehrfache Schlüsselerzeugung habe ich dagegen noch nie "in freier Wildbahn" gesehen (von unabsichtlicher Verwendung mehrerer Schlüssel auf demselben Gerät mal abgesehen). Ich bin daher davon ausgegangen, dass sich Dein Mailpartner mit PGP intensiv auseinandergesetzt hat und nach Risikoabwägung beschlossen hat mehrere Schlüssel zu nutzen, um bei Geräteverlust die Schlüssel einzeln widerrufen zu können. Daher hatte ich Subkeys vorgeschlagen.