PGP/Enigmail/TB78 - Stand der Dinge

Zitat von B. Mueller

Hier geht es um Sicherheitslücken der gegenwärtigen Implementierung von OpenPGP in TB - die lassen sich halt nicht schönreden und verharmlosen.

Ich will das jetzt auch gar nicht weiter breittreten. Und wer TB in dieser Form mit PGP nutzen will, der kann das ja gerne tun. Die 68er ist auch (nach meinem Kenntnisstand kein"unsupported Fork".

Und so lange ich von der 68er keine Sicherheitslücken kenne oder Funktionen vermisse, werde ich

sie auch erst mal beibehalten.

Aber parallel dazu Claws-Mail weiter testen. Und dann schauen, wie es weiter geht....

Nach dem, was ich bislang herausgefunden habe, wird aber eine "Ungültigmachung" der Passphrase nach Zeitablauf nicht realisierbar sein - weil TB78 halt gar keine Passphrase mehr kennt.

Das Problem wäre also nur mit einem Plugin zu lösen.

Vielleicht findet sich ja jemand, der das umsetzt.

Mich würde es freuen.

Zitat von schlingo

dazu hatte ich oben schon auf die Security Advisories for Thunderbird hingewiesen. Reichen die etwa nicht?

 

also da sehe ich nur "fixed".

und

"Jetzt schau doch endlich einmal nach Option 2 von oben "

ja, das ist der Tat eine Option.

Mit einem Aufwand, der der Neuinstallation von Claws-Mail gleichkommt.

Aber ob das auch unter win geht müsste ich dann auch erst noch testen.

Und der direkt folgende Einwand in dem Posting

• Die Funktion, auf GnuPG zurückzugreifen, ist vorrangig für Benutzer von Smartcards gedacht. Irgendwann in der Zukunft wird Thunderbird selbst Smartcards unterstützen. Es kann also sein, dass man diese Funktion dann wieder entfernt.

würde dann das Problem auch nur wieder verschieben.

Denn wenn TB das 1x gemacht hat ( ein funktionierendes Plugin rauswerfen), dann tun

sie es auch ein zweites mal.

Trotzdem teste ich beide Varianten. Wenn es wen interessiert, poste ich die Ergebnisse

hier. Was mir auf den ersten Blick gut gefällt, ist die OS-nahe Einbindungsmöglickeit

eigener Mail-Handler. Aber das ist ja auch nur ein erster Eindruck.

Könnte sogar auf Parallelbetrieb TB/Claws hinauslaufen.

Wenn man es hinbekommen kann, das die beiden sich auf ein gemeinsames Format/Maildir

einigen können.

Hat das schon mal jemand versucht?

Zitat von Susi to visit

Wie du gesehen hast, stammt der von mir. Und ja, es kann sein, dass diese Funktion irgendwann entfernt wird. Vielleicht auch nicht. Vorläufig funktioniert es jedenfalls.

Die Geschichte, dass Kunden/Firmen/Praxen, die mit sensiblen medizinischen Daten umgehen, sich von dir zu einer veralteten Version oder gar zu einer Migration zu einem ebenso alten Fork oder gar zur einem Mixbetrieb mit Claws überzeugen lassen, erzähle besser der sprichwörtlichen Uroma. Das nehme ich dir nie und nimmer ab.

hab ich irgendwann irgendwo irgendwas von "Kunden/Firmen/Praxen" geschrieben?

nein, hab ich nicht. - nicht in bezug auf medizinische daten.

und meine uroma lass bitte aus solchen postings erst recht raus.

wenn lieschen müller benno kusche schreibt, dass sie schwanger ist (und von wem sie

das sein könnte), dann sind das sensible medizinische daten.

dafür müssen weder sender noch empfänger mediziner sein.

aber auch ergebnisse von c-tests, die das DRK verschickt sind sensible m.-daten.

und genau die verschickt das DRK offen durchs netz.

und wenn ich von einer betonsteinfabrik aus dem sauerland plötzlich meine

eigene vorsorgevollmacht im klartext einer spam-mail erhalte, dann ist mit dem

datenschutz in .de ganz gewaltig was nicht in ordnung.

(genau das ist passiert. da war, wohl gemerkt, ein leak bei meinem notar die ursache)

und dieser kleine exkurs hatte jetzt nichts mit dem aktuellen TB-problem zu tun.

aber ist ein mailer offen und der ppg-key von keiner phrase mehr geschützt, dann ist

auch liesels schwangerschaftstest ruckzuck im netz - auch wenn es als mail encrypted war.

jedenfalls schneller, als mit manuell einzugebender phrase.

nachtrag:

das mit dem übertragen des key-handlings an den pgp-agent scheint aber zu

funktionieren wie ich es gern hätte.

besten dank

nun wirds mir echt zu doof....

und hat auch nichts mehr mit dem thema zu tun.

als fazit ziehe ich:

man kann, wenn man es will und weiss wie, seinen TB78 auch so konfigurieren, dass man auch

bei offenem mailer verschiedene "crypt-ebenen" hat. von denen jede durch eine eigene

passphrase geschützt ist.

man kann es auch lassen, wenn man dazu zu bequem ist.

ersteres habe ich bislang nur unter linux getestet, gehe aber davon aus, dass es unter win ebenfalls

möglich ist.

(probieren und dann hier posten werde ich das aber nur, wenn mich die langeweile überkommt.

da ich win nur zum spielen benutze)

wer neu in verschlüsselung einsteigt, und nur die transportstrecke verschlüsselt habe möchte,

für den mag die TB78-implementation ja auch durchaus sinnvoll sein.

wer anderen umgang damit gewohnt ist, für den ist es eine katastrophe.

im übrigen haben mich sehr viele jahre in der branche eins gelehrt:

es gibt kaum berufe, die IT-inkompatibler sind als juristen und steuerberater

sie sprechen einfach eine ganz andere sprache.

Sagt mal:

kann das sein, dass es so relativ zu den vermeitlichen Folgen wenig

Drama um das ganze Thema gibt, weil es nur Leute betrifft, die vorher

Enigmail laufen hatten?

(und dann leichtfertigerweise bei "migrieren" auf OK geklickt haben?)

Ich habe grade eine Neuinstallation gemacht und da nimmt er scheinbar per

default den PGP-Agent mit den eingestellten Timeout-Zeiten.

in ~/.gnupg/gpg-agent.conf

Und wenn man die nach seinem Wunsch einstellt ist alles gut.

so scheint es jedenfalls zu sein.

Zitat von B. Mueller

Welche Version unter welchen Randbedingungen? So hört sich das nicht nach einem völlig neuen Profil an.

das war der ablauf:

uname -an

Linux -mint-19 5.4.0-66-generic #74-Ubuntu SMP Wed Jan 27 22:54:38 UTC 2021 x86_64 x86_64 x86_64 GNU/Linux

cat /etc/lsb-release

DISTRIB_ID=LinuxMint

DISTRIB_RELEASE=20.1

DISTRIB_CODENAME=ulyssa

DISTRIB_DESCRIPTION="Linux Mint 20.1 Ulyssa"

benutzt wurde

thunderbird-68.12.1 - mit enigmail

(manuell installiert)

dann:

apt-get update

apt-get install thunderbird

thunderbird --version

Thunderbird 78.8.1

passt

thunderbird starten. verschlüsselte mail abrufen:

"Enigmail ist jetzt teil von thunderbird. ... migrieren OK"

das aber abgebrochen.

dann verschluesselte mail aufrufen:

passphrase wird abgefragt - mail entschluesselt

importieren der pubkey und einstellen der fingerprints.

und die agent.conf anpassen.

so sieht es für mich _erst mal_ OK aus.

Zitat von B. Mueller

Zitat von wicki_w

thunderbird starten. verschlüsselte mail abrufen:

"Enigmail ist jetzt teil von thunderbird. ... migrieren OK"

das aber abgebrochen.

Diesen Schritt habe ich damals leider nicht abgebrochen und mußte danach alles «zu Fuß» wieder einrichten:

Beitrag

Nach Update auf TB 78 Password/Passphrase-Abfrage für private Schlüssel wieder einrichten - Schritt für Schritt

Wer, wie ich, die Abfrage der Passphrase beim Einsatz der privaten Schlüssel unter TB vermißt, kann die Kontrolle darüber an GnuPG zurückgeben. Unter 'https://wiki.mozilla.org/Thunderbird:OpenPGP:Smartcards' ist zwar gut beschrieben, wie man das macht, aber es fehlt ein wichtiger Schritt: Man muß die privaten Schlüssel aus der Schlüsselverwaltung von TB entfernen!

("Enabling this preference will cause Thunderbird to attempt to decrypt a message using GnuPG, whenever RNP fails to decrypt a…

B. Mueller

20. Dezember 2020 um 13:35

So einfach kann es also sein - danke für die Info.

ja, so einfach scheint es zu sein.

mir ging es ja auch so - und deswegen war ich so stinkesauer - und habe das mit

deutlichen worten zum ausdruck gebracht.

natürlich ist man misstrauisch, wenn irgendeine software nach einer passphrase

fragt.

aber "hey, das ist thunderbird. denen wird man ja wohl vertrauen können"

ich wäre nie auf die idee gekommen, dass die sich einfach der decrypteden key

einverleiben und für sich behalten.

und man muss nicht verschwörungstheorie studiert haben, damit einem das

mindestens erst mal seltsam vorkommt.