Lost in openPGP

Zitat von mungo

Ein paar features fehlen mir allerdings,

Siehe dazu Migrationshinweise zu Funktionen/Einschränkungen bei OpenPGP in TB 78.2.2.

Zitat von mungo

denn der Aufruf von man openPGP ergab Kein Handbucheintrag für openPGP

Im Gegensatz zu früher, als man mit GnuPG oder der gpg.exe ein zusätzliches Programm benötigte, ist OpenPGP im Thunderbird integriert. Du hast kein Programm "OpenPGP" auf dem Rechner und somit auch keine man page.

Zitat von mungo

... ergänzen, daß das Hochladen von Schlüsseln auf einen Server nicht möglich ist.

Das finde ich besonders unschön.

Ich selbst nutze keine Key-Server. Das Suchen nach Schlüsseln soll aber funktionieren, mit der Beschränkung auf keys.openpgp.org, siehe

https://support.mozilla.org/en-US/kb/openp…d-howto-and-faq

Zitat von mungo

Was die "Integration" von PGP angeht, bin ich sehr enttäuscht, weil an keiner Stelle überhaupt die passphrase eingegeben werden muß, um verschlüsselte Mails zu lesen: JedeR kann alles lesen, sobald TB gestartet ist.

Hatte ich meiner Zusammenfassung erwähnt.

Zitat

Die konfigurierbare Passwortabfrage nach x Minuten gibt es nicht mehr. Die Schlüssel liegen direkt im Profil des TB und werden (nur) durch das Masterpassword geschützt. Die einmalige Eingabe beim Start gibt die Schlüssel für die gesamten Dauer der Session frei.

Du soltest also ein Master-Passwort vergeben und beim Verlassen des Rechners zumindest den Bildschirm sperren.

Hallo Mungo,

nur ein paar Gedanken.

- du willst es so haben, wie du es gewöhnt warst? bleib erstmal bei der 68-Reihe.

- der neue Ansatz bezügl. der Keyserver, den openpgp hat, finde ich eigentlich sehr gut! Hauptpunkt ist ja, dass nicht irgendjemand keys für emailadressen publizieren kann, der die emailadresse gar nicht besitzt. da wurde ja auch einiges an schindluder getrieben.

- ist zwar etwas umständlicher, seinen eigenen key dort hochzuladen, es klappt aber wunderbar, und da die anzahl der eigenen keys, die man hochladen möchte, meistens begrenzt ist, sehe ich das jetzt auch nicht als großes Problem an.

- anscheinend gibts 2 Gruppen pgp-nutzer - die einen wollen größtmögliche Sicherheit - die werden mit dem neuen Weg, den Thunderbird eingeschlagen hat, nicht glücklich; die anderen wollen möglichst einfach die Verschlüsselung einsetzen, und finden es deshalb u.U. sogar sehr gut, daß sie die Passphrase nicht mehr ständig eintippen müssen. (ich gebe zu, ich gehöre eher zu letzterer Gruppe

natürlich muss man sehen, wo und in welcher Umgebung man arbeitet, sicherlich gibt es genug Fälle, wo der "einfachere" Weg eben halt keine Alternative ist.

VG

Stefan

https://www.heise.de/security/meldu…el-4450814.html

Möchte dann doch noch meinen Senf dazugeben. Ich wisst ja, wir bevorzugen zur Weißwurst und zum Leberkas meist den süßen.

Zitat von stefan327

anscheinend gibts 2 Gruppen pgp-nutzer- die einen wollen größtmögliche Sicherheit - die werden mit dem neuen Weg, den Thunderbird eingeschlagen hat, nicht glücklich;

Es ist nur eine anderer Art der Handhabe. Solange man ein Masterpassword setzt, ist die Sicherheit ebenso hoch wie zuvor. Die Passphase ist dann verschlüsselt.
Um den Zugriff während einer Session zu erschweren, muss man den Bildschirmsperren und/oder den Thunderbird beenden, wenn man den Rechner verlässt. Das handhaben die meisten hoffentlich eh schon immer so. Ansonsten wäre ja alles lesbar, vor allem auch die unverschlüsselten Mails, die ganz locker mehr als 90% ausmachen.
Man darf über die veränderte Art und und Weise gern schimpfen, aber ein Sicherheitsthema ist es ganz gewiss nicht. Ich halte es für wichtig, das zu betonen. Es sollte nicht der Eindruck erweckt werden, die Entwickler hätten den Thunderbird weniger sicher gemacht. Das ist nicht der Fall.

Zitat von stefan327

die anderen wollen möglichst einfach die Verschlüsselung einsetzen, und finden es deshalb u.U. sogar sehr gut, daß sie die Passphrase nicht mehr ständig eintippen müssen.

In Enigmail musste man die Passphase eintippen, jetzt ggf. beim Start einmalig das Masterpassword. Wer es bequem haben wollte, konnte auch in Enigmail bereits einstellen, dass die Passphrase nur alle x-Stunden abgefragt wird. Ich sehe da keinen großen Unterschied.

Es gibt aber noch mindestens eine dritte Gruppe. Eine, zu der ich mich zählen würde, wäre die Gruppe deren, denen es noch an Funktionalität fehlt. Ich vermisse einige wenige der gewohnten Features wirklich sehr! Sei's drum. Die Features kommen irgendwann. Würde ich hier schimpfen, ginge es auch nicht schneller. Und da selbst Rom nicht an einem Tag erbaut wurde und ich Behelfslösungen habe, kann ich die Wartezeit schon aushalten. Und das, obwohl Geduld nun wirklich nicht zu meinen Tugenden gehört.

Zitat von mungo

Wenn ich nur den einen server nutzen kann, werde ich ebenso ohne Not bevormundet.

Du solltest weiterhin Schlüssel aus allen Quellen importieren können?

Darüber hinaus kannst du kannst prinzipiell auch ändern, welcher Keyserver für die Komfortfunktionen genutzt wird (derzeit über "temp.openpgp.keyserver" in der erweiterten Konfiguration). Dafür wird aber das vks-Protokoll vorausgesetzt. Dieses Protokoll garantiert maximal einen Treffer zu jeder Anfrage zu liefern, was für Endnutzer deutlich verständlicher ist und entsprechend eine einfacherer Benutzeroberfläche ermöglicht – so zumindest der Kommentar dazu im Thunderbird-Quelltext. SKS unterstützt das Protokoll entsprechend prinzipbedingt nicht. Eventuell kommt die Unterstützung mehrerer Keyserver oder von hkps irgendwann als erweiterte Option dazu, aber für den Moment war das eine bewusste Abwägung.

Dass das WOT wegfällt stört mich zwar auch etwas, aber ich muss zugeben dass der "neue" Weg in der Praxis selbst für meine Szenarien einfacher und genauso sicher ist (nur eben ungewohnt) – WOT hat sich schließlich nie wirklich durchgesetzt.

Was aber tatsächlich unschön ist, ist die separate Schlüsselverwaltung für Nutzer von Thunderbird und gnupg-basierten Anwendungen. Diese müssen nun zwei Schlüsselbunde pflegen. Ursache ist hier die rechtliche Inkompatibilität von GPL-lizenzierter Software wie gnupg mit offeneren Lizenzen wie der von Thunderbird: eine GPL-konforme Integration mit gnupg und built-in PGP-Support auf allen Plattformen hätte das Budget gesprengt, und letzteres hatte – zu Recht – Priorität.

/*

Ich rätsele gerade, weshalb ich den Beitrag #7 von mungo vorhin nicht gesehen habe.

graba, kannst du in den Logs sehen, wann welcher Beitrag geschrieben wurde? Mir wird angezeigt, dass mein Beitrag #8 vor 56 Minuten erfolgte, mungo's Beitrag #7 vor einer Stunde. Das liegt zwar dicht bei einander, passt aber in der Reihenfolge nicht.

*/

[OT]

Zitat von Susi to visit

kannst du in den Logs sehen, wann welcher Beitrag geschrieben wurde?

Am PC kann man mit der Maus über die relativen Zeitangabe fahren, dann werden Zeiten angegeben: der Beitrag von Mungo wurde um 20:15, deiner um 20:34 veröffentlicht.

Es ist aber zumindest bei mir normal das man hier neue Beiträge nicht sieht bis die Seite neu geladen wird; ich habe deinen Beitrag auch erst nach dem Absenden von meinem gesehen; der Tab war bereits eine Weile offen...

[/OT]

Zitat von mungo

und daß ich nun zwischen openPGP und Web of Trust wählen muß, ist ohne Not erzwungen.

Das stimmt in dieser Pauschalität nicht. Unabhängig vom Thunderbird und OpenPGP, die Abkehr von WoT hat ja Gründe. WoT steht schon lange in der Kritik. Auch wenn es deine Schlüssel nicht betrifft, du kannst ja mal nach vermeintlichen Schlüsseln von Angela Merkel schauen. Da bekommst du sehr viele Treffer, darunter auch von anderen Fakes signierte, sozusagen voll vertraute. Das ist genau das Gegenteil von dem, was man erreichen wollte. Von Vertrauen kann da wohl kaum noch die Rede sein. Das bisherige WoT erreicht sein Ziel nicht.

Das ist auch einer der Gründe, weshalb S/MIME das bevorzugte Verfahren in der Wirtschaft ist. CAs sind viel vertrauenswürdiger als WoT.

Du wirst auch nicht gezwungen. Du kannst dir nach wie vor einen der vielen gefälschten Schlüssel von Angela Merkel importieren. Nur nicht mehr so komfortabel.

Zitat von mungo

Software in seinen features grundsätzlich zu verändern, die Nutzung massiv einzuschränken und das Ganze dann ohne jede release note, ohne Hilfe-Funktion und Versionshinweis herauszugeben, ist fahrlässig.

Die Abkehr vom WoT ist keine massive Einschränkung. Release Notes und Hinweise gab es. Sogar eine FAQ, siehe Link in Beitrag #4. Fahrlässig ist vielleicht eher, sie nicht zu lesen.

Zitat von generalsync

Am PC kann man mit der Maus über die relativen Zeitangabe fahren, dann werden Zeiten angegeben

Danke, das war mich noch nicht aufgefallen. Dort war meine Maus in all den Jahren noch nicht.

Susi to visit

Zitat von Susi to visit

kannst du in den Logs sehen, wann welcher Beitrag geschrieben wurde?

Ich kann nur sehen, dass beide vor 2 Stunden geschrieben wurden. Vielleicht sieht Thunder mehr.

Das passt schon. generalsync hat mit die Augen geöffnet.

Zitat von Susi to visit

Danke, das war mich noch nicht aufgefallen. Dort war meine Maus in all den Jahren noch nicht.

Tja, meine auch noch nicht. Was es alles gibt!

Zitat von Susi to visit

vermeintlichen Schlüsseln von Angela Merkel schauen. Da bekommst du sehr viele Treffer, darunter auch von anderen Fakes signierte, sozusagen voll vertraute.

Nur dazu: "vertraut" in WOT hat eine eigene, sehr enge Definition: nur, wenn man eine Signatur auf einen manuell als voll vertrauenswürdig markierten Schlüssel zurückverfolgen kann, wird dem Schlüssel "vertraut".

Das Problem ist, das das Konzept nur dann funktioniert, wenn eine kritische Masse der Nutzer WOT aktiv und korrekt nutzt. Ist das der Fall, ist WOT deutlich sicherer als herkömmliche PKI, da jeder Nutzer gezwungen ist, alle möglichen "Zertifizierungsstellen" selbst zu prüfen. Bei PKI wird die Prüfung an eine zentrale Instanz abgeschoben, die prinzipbedingt Abwägungen machen muss, die entsprechend nicht für jedes einzelne Individuum optimal sind. Darüber hinaus sind zentrale Instanzen sehr viel lohnendere Ziele für etwaige Angreifer: ein erfolgreicher Angriff und alle Nutzer sind betroffen.

In der Praxis haben aber viele statt WOT mangels vertrauter Schlüssel den "wahrscheinlichsten" Schlüssel genommen und als vertrauenswürdig markiert. Das widerspricht WOT, ist aber in der Praxis leider oft die einzige Option, da das eigene Vertrauensnetz mangels Verbreitung oft viel zu grobmaschig ist. Ein Netzwerk aus geprüften Zertifizierungsstellen wäre da die optimale Ergänzung: PKI kann ja auch in WOT abgebildet werden, nur eben nicht umgekehrt.

Zitat von generalsync

"vertraut" in WOT hat eine eigene, sehr enge Definition:

Ohne Zweifel ist ein dezentrales Modell wie WoT in der Theorie eine hervorragende Idee. Wie auch andere gute Ideen scheitert es in Praxis dann doch fatal, u.a. an der Disziplin der Teilnehmer. Das ist teilweise sogar sehr verständlich.

Letztendlich steckt der Fehler im System. Es lässt sich leicht falsch bedienen, egal ob vorsätzlich oder aus Versehen. Und das setzt sich dann im System weiter fort.

Ein Freund von uns, der an einer US University arbeitet, pflegt in solchen Fällen zu sagen: "This is when reality strikes".

Zitat von generalsync

normal das man hier neue Beiträge nicht sieht bis die Seite neu geladen wird

Hallo

jein. Normalerweise erscheint dann am Fußende ein entsprechender Hinweis:

Der Screenshot ist aus einem anderen Forum mit derselben Forensoftware, wo ich den Hinweis gerade bekam.

Gruß Ingo