TB 78 Open PGP: Passphrase wird nicht mehr abgefragt

    Um Rückfragen vorzubeugen, bitten wir um folgende Angaben:

    • Thunderbird-Version (konkrete Versionsnummer): 78.5
      • Betriebssystem + Version: Win 10
    • Kontenart (POP / IMAP): beide
    • Postfachanbieter (z.B. GMX): diverse
    • PGP-Software / PGP-Version: OpenPGP
    • Eingesetzte Antivirensoftware: intern
    • Firewall (Betriebssystem-intern/Externe Software): intern

    Hallo alle,

    ich mal wieder. I

    Ich habe mir leider nicht gemerkt, seit welchem Update das so ist, aber Thunderbird fragt beim Entschlüsseln keine PGP Passphrase mehr ab.

    Ich möchte das aber gerne und finde keine Einstellung, wo ich das ändern kann.

    Gibt es Hilfe?

    Ich habe im Netz nur den Tip gefunden, ein Masterpasswort einzurichten. Das kannst ja irgendwie nicht sein, oder?

    Wäre für einen guten Rat sehr dankbar!

    Grüße alle!

  • Zur hilfreichsten Antwort springen

    Hmmm ich finde das unbefriedigend in dem Sinne, daß ich die Mails auch auf meinem Rechner gerne verschlüsselt liegen haben möchte.

    Ist da Änderung geplant? Oder muß ich "von Hand" verschlüsseln? Oder zurück zu TB 68 und Enigmail?

    Zitat

    ...daß ich die Mails auch auf meinem Rechner gerne verschlüsselt liegen haben möchte.

    Das sind sie.

    Zitat von prokura

    Hmmm ich finde das unbefriedigend in dem Sinne, daß ich die Mails auch auf meinem Rechner gerne verschlüsselt liegen haben möchte.

    Ist da Änderung geplant? Oder muß ich "von Hand" verschlüsseln? Oder zurück zu TB 68 und Enigmail?

    Das sind sie. Nur wenn du Thunderbird öffnest bzw. sogar nur wenn du die einzelnen Mails öffnest, werden diese entschlüsselt.

    Wenn dein PC gestohlen wird, bringt dir das natürlich nicht viel. Daher bietet sich zusätzlich eine Festplattenverschlüsselung an - diese wäre auch viel sicherer als ein einfaches Passwort in Thunderbird.

    Zitat von rphbvg

    Wenn dein PC gestohlen wird, bringt dir das natürlich nicht viel.

    Die E-Mails sind selbstverständlich weiterhin verschlüsselt und können nur mit dem zugehörigen Schlüssel + der Passphrase entschlüsselt werden. Der Unterschied zu früher ist nun der, dass der Thunderbird die Passphrase in seinem Passwortspeicher ablegt. Deshalb wird die Passphrase nicht mehr beim Benutzer abgefragt.

    Zum Schutz dieses Passwortspeichers dient das Masterpassword. Damit wird der Passwortspeicher dann ebenfalls verschlüsselt und ist für einen Dieb ohne Kenntnis des Passworts nicht lesbar.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Vielen Dank an alle für eure Beiträge.
    Ich glaube, ich verstehe den Mechanismus jetzt etwas besser. Ich glaube hieran störe ich mich halt:

    Zitat von Susi to visit

    Der Unterschied zu früher ist nun der, dass der Thunderbird die Passphrase in seinem Passwortspeicher ablegt.

    Aber kann ich davon ausgehen, daß die Verschlüsselung meiner Passphrase durch Thunderbird genauso sicher ist wie die PGP Verschlüsselung an sich? Weil wenn ja, dann wäre ich beruhigt.

    • Hilfreichste Antwort

    Der Schlüssel selbst ist nach wie vor mit der Passphrase verschlüsselt. Sollte er verloren gehen, besteht der gleiche Schutz wie zuvor.

    Thunderbird speichert die Passphrase (wie auch die Passwörter der Konten), ähnlich wie der Schlüsselring des Betriebssystems. Wenn du ein Masterpassword benutzt, geschieht das ebenfalls verschlüsselt. Der Grad der Sicherheit hängt dann von der Qualität dieses Passwortes ab. Insofern ist der Schutz dann gleich gut. Direkt von der Festplatte lesen kann man die Passphrase dann nicht.

    Das Risiko ist dadurch etwas erhöht, als dass der laufende Thunderbird nicht mehr nach x Minuten nachfragt. Wer bei offen laufendem Thunderbird an den Rechner kommt, kann auch die verschlüsselten E-Mails lesen. Also beim Verlassen brav den Bildschirm sperren.

    Und noch der Vollständigkeit halber, in beiden Fällen könnte ein Angreifer, der vollen Zugang zu dem Rechner hat, entsperrte Schlüssel und Passwörter direkt aus dem RAM lesen.

    Ach ja, noch etwas. Oben wurde es schon erwähnt. Die Verschlüsselung zumindest der Datenpartition ist immer eine gute Idee, vor allem bei transportablen Rechnern.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Zitat von Susi to visit

    Das Risiko ist dadurch etwas erhöht, als dass der laufende Thunderbird nicht mehr nach x Minuten nachfragt. Wer bei offen laufendem Thunderbird an den Rechner kommt, kann auch die verschlüsselten E-Mails lesen. Also beim Verlassen brav den Bildschirm sperren.

    das ist auch genau das, was mich stört: bei laufendem thunderbird sind verschlüsselte mails genauso lesbar wie unverschlüsselte. mit enigmail brauchte ich dazu noch eine komponente, die in meinem hirn abgelegt war. dazu kommt, dass ich selber die passphrase für den schlüssel gar nicht mehr kenne sondern nur noch TB. ich empfinde das nicht als besser gelöst als in enigmail, wo man einfach die keys des systems genutzt hat, die auch alle anderen anwendungen nutzen.

    technisch wäre es ja kein unlösbares problem, die passphrase optional wieder zu erfragen und für x minuten zu cachen statt aus dem keystore zu entnehmen und dauerhaft im speicher zu halten. mich würde interessieren, ob es dazu schon ein ticket/feature request gibt und wie die entwickler darüber denken. ich würde mich jedenfalls über diese funktionalität sehr freuen, wüsste aber derzeit weder wo ich den wunsch einkippen kann noch ob die entwickler grundsätzlich für sowas offen wären, oder ob man das als völlig inkompatibel mit der neu ausgerufenen einfachheit empfindet, die man mit der abtrennung des keyrings des systems ja erreichen wollte.

    hat da schon mal jemand irgendwo vorgefühlt oder kann das sonstwie einschätzen? :)

    Zitat von pedrito
    Zitat von bfink

    hat da schon mal jemand irgendwo vorgefühlt oder kann das sonstwie einschätzen? :)

    Beitrag #4 hast du gelesen und die Lösung reicht für deine Bedürfnisse nicht?

    du meinst die sache mit mail.openpgp.allow_external_gnupg? das hilft mir leider nicht, da man darüber nur genau einen schlüssel angeben kann, den man weiterhin via gpg einbinden möchte. ich weiss nicht ob mein setup da so exotisch ist, aber ich habe pro mailaccount einen eigenen key, d.h. ich müsste die einstellung pro account machen können, dann wäre es super.

    wobei ich mir auch nicht sicher bin, ob das als dauerhafte lösung gedacht ist. mein verständnis war, dass man das nur für den übergang anbieten will und der schalter in zukünftigen versionen wieder ausgebaut wird.

    Zitat von bfink

    das hilft mir leider nicht, da man darüber nur genau einen schlüssel angeben kann, den man weiterhin via gpg einbinden möchte. i

    Ich habe es nicht ausprobiert, aber ich verstehe die Erläuterungen so, dass das pro account möglich ist.

    Zitat

    Open the Account Settings and open the End-to-End Encryption tab of the respective email account. Click the "Add Key" button. You'll be offered the choice "Use your external key through GnuPG".


    https://wiki.mozilla.org/Thunderbird:OpenPGP:Smartcards

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    hast recht, das geht tatsächlich pro account. hatte die warnmeldung, dass nur ein key konfiguriert werden darf anders interpretiert.

    ja, kann man so erstmal machen, ich hoffe nur, dass der external gnupg-mode nicht überraschend ausgebaut wird sondern wirklich erst, wenn man den enigmail-funktionsumfang erreicht hat.

    Zitat von bfink

    ich hoffe nur, dass der external gnupg-mode nicht überraschend ausgebaut wird

    Mei, dass wissen wir natürlich nicht. Optimistisch darf man aber sein. Ich kann mir nicht vorstellen, dass man das ausbaut, bevor die Integration weiter fortgeschritten ist. Solange es nicht zu Konflikten mit der neuen Lösung kommt, wird das wohl so belassen.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Zitat von bfink

    ja, kann man so erstmal machen, ich hoffe nur, dass der external gnupg-mode nicht überraschend ausgebaut wird sondern wirklich erst, wenn man den enigmail-funktionsumfang erreicht hat.

    So wie ich das verstanden habe, ist die gnupg Unterstützung eine langfristige Lösung. GPG ist einfach was Verschlüsselung angeht der "Gold-Standard" und alles davon kann Thunderbird mit seiner eigenen Lösung nicht leisten (Stichwort: Smartcards, Yubikey etc. oder auch kompliziertere Kombinationen aus Keys und Subkeys).

    D.h. der Standardnutzer soll ohne die Installation von GPG auskommen. Wer GPG verwenden will, ist sicher schon ein fortgeschrittener Anwender, der sich schon ein weniger intensiver mit dem Thema Verschlüsselung auseinandergesetzt hat und genau weiß, was er/sie will.

    Hallo,

    ich nutze Thunderbird + PGP/GnuPG seit der ersten Stunde. Ein Masterpaßwort ohne Timeout, das bis zum Schließen der Anwendung aktiv bleibt, geht gar nicht!

    Der 'externe gnupg-mode' ist auch keine Lösung, denn für alle Public Key Operationen greift TB trotzdem wieder auf die eigene Library (mit all den Einschränkungen) zurück.

    Früher - vor Version 78.5.1 - war die Welt noch in Ordnung.

    Schade …

    In etwas abgewandelter Form: "Die Implementation in der aktuellen Form ist zwar möglich, macht die Verschlüsselung aber sinnlos!"

    Für mich jedenfalls - ich habe schon vor 50 Jahren verschlüsselte Nachrichten ausgetauscht - ist das jetzige Verhalten des Masterpaßworts ein absolutes "NoGo".

    Vermutlich haben die Entwickler die Generation im Blick, die permanent mit "Single sign on" und einem Passwort für alle Dienste unterwegs ist.

    Man könnte allerdings auch auf die Idee kommen, daß es bestimmten Diensten ganz gelegen kommt, wenn der Anwender das Gefühl hat: "Hey - endlich kann ich auf einfache Art meine Mails verschlüsseln", sie auf den Endgeräten aber leichteren Zugang zu den Inhalten haben …