PGP/Enigmail/TB78 - Stand der Dinge

    Quote from B. Mueller

    Hier geht es um Sicherheitslücken der gegenwärtigen Implementierung von OpenPGP in TB - die lassen sich halt nicht schönreden und verharmlosen.

    Ich will das jetzt auch gar nicht weiter breittreten. Und wer TB in dieser Form mit PGP nutzen will, der kann das ja gerne tun. Die 68er ist auch (nach meinem Kenntnisstand kein"unsupported Fork".

    Und so lange ich von der 68er keine Sicherheitslücken kenne oder Funktionen vermisse, werde ich

    sie auch erst mal beibehalten.

    Aber parallel dazu Claws-Mail weiter testen. Und dann schauen, wie es weiter geht....

    Nach dem, was ich bislang herausgefunden habe, wird aber eine "Ungültigmachung" der Passphrase nach Zeitablauf nicht realisierbar sein - weil TB78 halt gar keine Passphrase mehr kennt.

    Das Problem wäre also nur mit einem Plugin zu lösen.

    Vielleicht findet sich ja jemand, der das umsetzt.

    Mich würde es freuen.

    Quote from wicki_w

    Nach dem, was ich bislang herausgefunden habe, wird aber eine "Ungültigmachung" der Passphrase nach Zeitablauf nicht realisierbar sein

    Jetzt schau doch endlich einmal nach Option 2 von oben und auf die Anleitung von @B. Mueller, die dir extra von stefan327 verlinkt wurde. Das ist doch genau das, was du willst.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Quote from schlingo

    dazu hatte ich oben schon auf die Security Advisories for Thunderbird hingewiesen. Reichen die etwa nicht?

     

    also da sehe ich nur "fixed".

    und

    "Jetzt schau doch endlich einmal nach Option 2 von oben "

    ja, das ist der Tat eine Option.

    Mit einem Aufwand, der der Neuinstallation von Claws-Mail gleichkommt.

    Aber ob das auch unter win geht müsste ich dann auch erst noch testen.

    Und der direkt folgende Einwand in dem Posting

    • Die Funktion, auf GnuPG zurückzugreifen, ist vorrangig für Benutzer von Smartcards gedacht. Irgendwann in der Zukunft wird Thunderbird selbst Smartcards unterstützen. Es kann also sein, dass man diese Funktion dann wieder entfernt.

    würde dann das Problem auch nur wieder verschieben.

    Denn wenn TB das 1x gemacht hat ( ein funktionierendes Plugin rauswerfen), dann tun

    sie es auch ein zweites mal.

    Trotzdem teste ich beide Varianten. Wenn es wen interessiert, poste ich die Ergebnisse

    hier. Was mir auf den ersten Blick gut gefällt, ist die OS-nahe Einbindungsmöglickeit

    eigener Mail-Handler. Aber das ist ja auch nur ein erster Eindruck.

    Könnte sogar auf Parallelbetrieb TB/Claws hinauslaufen.

    Wenn man es hinbekommen kann, das die beiden sich auf ein gemeinsames Format/Maildir

    einigen können.

    Hat das schon mal jemand versucht?

    Quote from wicki_w

    Und der direkt folgende Einwand in dem Posting

    Wie du gesehen hast, stammt der von mir. Und ja, es kann sein, dass diese Funktion irgendwann entfernt wird. Vielleicht auch nicht. Vorläufig funktioniert es jedenfalls.

    Die Geschichte, dass Kunden/Firmen/Praxen, die mit sensiblen medizinischen Daten umgehen, sich von dir zu einer veralteten Version oder gar zu einer Migration zu einem ebenso alten Fork oder gar zur einem Mixbetrieb mit Claws überzeugen lassen, erzähle besser der sprichwörtlichen Uroma. Das nehme ich dir nie und nimmer ab.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Quote from Susi to visit

    Wie du gesehen hast, stammt der von mir. Und ja, es kann sein, dass diese Funktion irgendwann entfernt wird. Vielleicht auch nicht. Vorläufig funktioniert es jedenfalls.

    Die Geschichte, dass Kunden/Firmen/Praxen, die mit sensiblen medizinischen Daten umgehen, sich von dir zu einer veralteten Version oder gar zu einer Migration zu einem ebenso alten Fork oder gar zur einem Mixbetrieb mit Claws überzeugen lassen, erzähle besser der sprichwörtlichen Uroma. Das nehme ich dir nie und nimmer ab.

    hab ich irgendwann irgendwo irgendwas von "Kunden/Firmen/Praxen" geschrieben?

    nein, hab ich nicht. - nicht in bezug auf medizinische daten.

    und meine uroma lass bitte aus solchen postings erst recht raus.

    wenn lieschen müller benno kusche schreibt, dass sie schwanger ist (und von wem sie

    das sein könnte), dann sind das sensible medizinische daten.

    dafür müssen weder sender noch empfänger mediziner sein.

    aber auch ergebnisse von c-tests, die das DRK verschickt sind sensible m.-daten.

    und genau die verschickt das DRK offen durchs netz.

    und wenn ich von einer betonsteinfabrik aus dem sauerland plötzlich meine

    eigene vorsorgevollmacht im klartext einer spam-mail erhalte, dann ist mit dem

    datenschutz in .de ganz gewaltig was nicht in ordnung.

    (genau das ist passiert. da war, wohl gemerkt, ein leak bei meinem notar die ursache)

    und dieser kleine exkurs hatte jetzt nichts mit dem aktuellen TB-problem zu tun.

    aber ist ein mailer offen und der ppg-key von keiner phrase mehr geschützt, dann ist

    auch liesels schwangerschaftstest ruckzuck im netz - auch wenn es als mail encrypted war.

    jedenfalls schneller, als mit manuell einzugebender phrase.


    nachtrag:

    das mit dem übertragen des key-handlings an den pgp-agent scheint aber zu

    funktionieren wie ich es gern hätte.

    besten dank ;-)

    Edited once, last by wicki_w (April 27, 2021 at 7:12 PM).

    Quote from wicki_w

    das mit dem übertragen des key-handlings an den pgp-agent scheint aber zu funktionieren wie ich es gern hätte.

    Bezieht sich das auf meine «Schritt für Schritt» Anleitung? Falls ja, hast du es auch unter Windows eingerichtet? Dann könntest du die Vorgehensweise für Windows dort gerne ergänzen.

    Quote from wicki_w

    das mit dem übertragen des key-handlings an den pgp-agent scheint aber zu

    funktionieren wie ich es gern hätte.

    Siehst du. Das hättest du bereits vor fast einer Woche haben können, denn Ich hatte dir das gleich in #2 und später nochmals geschrieben. Aber du hast es vorgezogen, deine Zeit mit Meckern und Grimms Märchenstunde zu verbringen.

    Quote from wicki_w

    hab ich irgendwann irgendwo irgendwas von "Kunden/Firmen/Praxen" geschrieben?

    Ich denke diese Aussagen darf man durchaus so interpretieren:

    Quote from wicki_w

    was für mich bedeutet: TB ist für mich und kunden tabu, wenn die 68er version

    nicht mehr supported wird.

    Quote from wicki_w

    Aber verschlüsselte Mails enthalten Passwörter, Daten, die niemand etwas angehen

    und auch vielleicht mal schnell geschriebene Infos zu Gesundheitszustand von

    Personen oder gar Diagnosedaten.


    Dass du nun die Märchenstunde prompt fortsetzt, ist schon fast eine Beleidigung der Leser:

    Quote from wicki_w

    aber auch ergebnisse von c-tests, die das DRK verschickt sind sensible m.-daten.

    und genau die verschickt das DRK offen durchs netz.

    Du schreibst ja selbst, sie werden unverschlüsselt verschickt. Mit dem Problem der Passphrase kann das also gar nichts zu tun haben, ebenso wenig wie auch das angebliche Datenleck bei deinem Notar.

    Der Notar ist übrigens ein gutes Stichwort, welches das ganze Theater hier geradezu entlarvt. Gerade Notare kennen sich mit dem Thema der Echtheit eines Dokumentes und dessen Unabstreitbarkeit ja bestens aus. Deshalb benutzen sie für die Verschlüsselung meist kein PGP, es sei denn, der Empfänger wünscht und erlaubt das ausdrücklich.

    Notare müssen Rechtsverbindlichkeit herstellen. Mit einem selbst erstellten und von Onkel Paul unterschriebenen PGP-Schlüssel ist das nicht möglich.

    Notare unterliegen der Verschwiegenheitspflicht. Sie müssen deshalb nicht nur den Inhalt ihrer Schreiben vertraulich halten, sie müssen sogar geheim halten, dass überhaupt ein Kontakt besteht. Deshalb muss einer Kommunikation per E-Mail nicht nur vom Empfänger sondern von allen Beteiligten zuvor schriftlich zugestimmt werden - selbst von denen, von denen du als Klient möglicherweise gar nicht weißt.

    Für Notare gibt es u.a. deshalb zum Beispiel das Notarnetz. Dort werden E-Mails, wie überhaupt meist im professionellen Umfeld, nicht mit PGP sondern mit S/MIME-Zertifikaten verschlüsselt und signiert.

    Nach langem Geschreibsel nun zum Punkt: Bei S/MIME ist es im Thunderbird wie auch im Outlook so, dass die Passphrase zum Entschlüsseln nach dem Import überhaupt nicht mehr abgefragt wird!

    Das ist doch komisch, dass das noch keinen Aufschrei gegeben hat. Da gibt es seit Jahren einer deiner Meinung solch dramatische Sicherheitslücke und ausgerechnet die Profis beschweren sich nicht einmal! Kaum zu glauben.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Quote from Susi to visit

    Der Notar ist übrigens ein gutes Stichwort, welches das ganze Theater hier geradezu entlarvt.

    Was genau hast du an:

    Quote from wicki_w

    da war, wohl gemerkt, ein leak bei meinem notar die ursache

    nicht verstanden? Keine Rede davon, daß der Notar PGP benutzt hätte … (kopfschüttel)

    Kann ich dir sagen: Weil ein Leak überhaupt nichts mit dem Thema hier zu tun hat. Das war also schwerlich ein Argument.

    Für mich war es aber ein gutes ein Stichwort, eure Überdramatisierung mal auf den Boden der Tatsachen zu holen.

    Und bevor du abwertend den Kopf schüttelst, begegne mir doch besser mit validen Argumenten. Denen werde ich mich nicht verschließen. Nur, auch in deinem eigenen Thema stehen die seit Wochen aus.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Quote from Susi to visit

    Weil ein Leak überhaupt nichts mit dem Thema hier zu tun hat. Das war also schwerlich ein Argument.

    Auch darauf wurde schon hingewiesen:

    Quote from wicki_w

    und dieser kleine exkurs hatte jetzt nichts mit dem aktuellen TB-problem zu tun.

    Ganz offensichtlich war es aber ein passender Aufhänger, mit unsachlichen Begriffen wie: «Meckern», «Grimms Märchenstunde», «Beleidigung der Leser», «Theater», «Überdramatisierung» nur so um sich zu werfen. Darauf werde ich mich nicht einlassen.

    Nun, mit den unsachlichen Begriffen hast du natürlich recht. Siehe es als eine Art quid pro quo an. Außerdem sind die Geschichten um Kunden, die auf alte Versionen oder auf einen Fork oder gar auf Claws gehen sollen, tatsächlich sehr unglaubwürdig.

    Ich mein, was soll man machen? Du stellst Behauptungen auf wie "Die Implementation in der aktuellen Form [...] macht die Verschlüsselung aber sinnlos!" und unterstellst den Entwicklern übelste Dinge. Nur belegst du das nicht.

    Mir ist es wichtig, dass Leute, die sich für Verschlüsselung interessieren nicht durch Un- oder Halbwahrheiten abgeschreckt werden. Deshalb hatte ich dich mehrfach darum gebeten, du mögest doch bitte sachlich bleiben und die technische Fakten dazu aufzeigen, siehe zum Beispiel hier: RE: TB Upgrade or Not Upgrade (v68 vs. v78)

    Das hast du bis heute nicht getan. Bei Nachfragen weichst du aus oder antwortest gar nicht.

    Aber bitte, ein neuer Versuch:

    • Beschränken wir uns bitte ganz sachlich auf die technischen Fakten zum Thema Sicherheit und weichen nicht auf Themen wie Komfort, zusätzlicher Aufwand usw. aus.
    • Belege bitte rein technisch, dass die Sicherheit bei Ergreifen der richtigen Maßnahmen (Verschlüsselung des Datenspeichers, Verwendung eines Masterpassworts, Sperren des Rechners beim Verlassen), schlechter ist als zuvor.
    • Erkläre bitte, weshalb das Fehlen der Passphrasenabfrage bei S/MIME in all den Jahren nicht als ein so großes Risiko betrachtet wurde, wie du es im Falle PGP darstellst.
      Immerhin behauptest du ja wiederholt, die Verschlüsselung sei damit sinnlos geworden. Das ist schon ein schweres Geschütz.
      Würde das stimmen, würde niemand mehr S/MIME verwenden. Und doch ist es Im professionellen Umfeld das bevorzugte Verfahren und in Outlook sogar der Standard.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    nun wirds mir echt zu doof....

    und hat auch nichts mehr mit dem thema zu tun.

    als fazit ziehe ich:

    man kann, wenn man es will und weiss wie, seinen TB78 auch so konfigurieren, dass man auch

    bei offenem mailer verschiedene "crypt-ebenen" hat. von denen jede durch eine eigene

    passphrase geschützt ist.

    man kann es auch lassen, wenn man dazu zu bequem ist.

    ersteres habe ich bislang nur unter linux getestet, gehe aber davon aus, dass es unter win ebenfalls

    möglich ist.

    (probieren und dann hier posten werde ich das aber nur, wenn mich die langeweile überkommt.

    da ich win nur zum spielen benutze)

    wer neu in verschlüsselung einsteigt, und nur die transportstrecke verschlüsselt habe möchte,

    für den mag die TB78-implementation ja auch durchaus sinnvoll sein.

    wer anderen umgang damit gewohnt ist, für den ist es eine katastrophe.

    im übrigen haben mich sehr viele jahre in der branche eins gelehrt:

    es gibt kaum berufe, die IT-inkompatibler sind als juristen und steuerberater

    sie sprechen einfach eine ganz andere sprache.

    ;-)

    Sagt mal:

    kann das sein, dass es so relativ zu den vermeitlichen Folgen wenig

    Drama um das ganze Thema gibt, weil es nur Leute betrifft, die vorher

    Enigmail laufen hatten?

    (und dann leichtfertigerweise bei "migrieren" auf OK geklickt haben?)

    Ich habe grade eine Neuinstallation gemacht und da nimmt er scheinbar per

    default den PGP-Agent mit den eingestellten Timeout-Zeiten.

    in ~/.gnupg/gpg-agent.conf

    Und wenn man die nach seinem Wunsch einstellt ist alles gut.

    so scheint es jedenfalls zu sein.

    Quote from wicki_w

    Ich habe grade eine Neuinstallation gemacht und da nimmt er scheinbar per

    default den PGP-Agent mit den eingestellten Timeout-Zeiten.


    in ~/.gnupg/gpg-agent.conf


    Und wenn man die nach seinem Wunsch einstellt ist alles gut.

    Welche Version unter welchen Randbedingungen? So hört sich das nicht nach einem völlig neuen Profil an.

    Quote from B. Mueller

    Welche Version unter welchen Randbedingungen? So hört sich das nicht nach einem völlig neuen Profil an.

    das war der ablauf:

    uname -an

    Linux -mint-19 5.4.0-66-generic #74-Ubuntu SMP Wed Jan 27 22:54:38 UTC 2021 x86_64 x86_64 x86_64 GNU/Linux

    cat /etc/lsb-release

    DISTRIB_ID=LinuxMint

    DISTRIB_RELEASE=20.1

    DISTRIB_CODENAME=ulyssa

    DISTRIB_DESCRIPTION="Linux Mint 20.1 Ulyssa"

    benutzt wurde

    thunderbird-68.12.1 - mit enigmail

    (manuell installiert)

    dann:

    apt-get update

    apt-get install thunderbird

    thunderbird --version

    Thunderbird 78.8.1

    passt

    thunderbird starten. verschlüsselte mail abrufen:

    "Enigmail ist jetzt teil von thunderbird. ... migrieren OK"

    das aber abgebrochen.

    dann verschluesselte mail aufrufen:

    passphrase wird abgefragt - mail entschluesselt

    importieren der pubkey und einstellen der fingerprints.

    und die agent.conf anpassen.

    so sieht es für mich _erst mal_ OK aus.

    Quote from wicki_w

    thunderbird starten. verschlüsselte mail abrufen:

    "Enigmail ist jetzt teil von thunderbird. ... migrieren OK"


    das aber abgebrochen.

    Diesen Schritt habe ich damals leider nicht abgebrochen und mußte danach alles «zu Fuß» wieder einrichten:

    Post

    Nach Update auf TB 78 Password/Passphrase-Abfrage für private Schlüssel wieder einrichten - Schritt für Schritt

    Wer, wie ich, die Abfrage der Passphrase beim Einsatz der privaten Schlüssel unter TB vermißt, kann die Kontrolle darüber an GnuPG zurückgeben. Unter 'https://wiki.mozilla.org/Thunderbird:OpenPGP:Smartcards' ist zwar gut beschrieben, wie man das macht, aber es fehlt ein wichtiger Schritt: Man muß die privaten Schlüssel aus der Schlüsselverwaltung von TB entfernen!

    ("Enabling this preference will cause Thunderbird to attempt to decrypt a message using GnuPG, whenever RNP fails to decrypt a…
    B. Mueller
    December 20, 2020 at 1:35 PM
    Quote from wicki_w

    importieren der pubkey und einstellen der fingerprints.

    und die agent.conf anpassen.

    So einfach kann es also sein - danke für die Info.

    Quote from B. Mueller
    Quote from wicki_w

    thunderbird starten. verschlüsselte mail abrufen:

    "Enigmail ist jetzt teil von thunderbird. ... migrieren OK"


    das aber abgebrochen.

    Diesen Schritt habe ich damals leider nicht abgebrochen und mußte danach alles «zu Fuß» wieder einrichten:

    Post

    Nach Update auf TB 78 Password/Passphrase-Abfrage für private Schlüssel wieder einrichten - Schritt für Schritt

    Wer, wie ich, die Abfrage der Passphrase beim Einsatz der privaten Schlüssel unter TB vermißt, kann die Kontrolle darüber an GnuPG zurückgeben. Unter 'https://wiki.mozilla.org/Thunderbird:OpenPGP:Smartcards' ist zwar gut beschrieben, wie man das macht, aber es fehlt ein wichtiger Schritt: Man muß die privaten Schlüssel aus der Schlüsselverwaltung von TB entfernen!

    ("Enabling this preference will cause Thunderbird to attempt to decrypt a message using GnuPG, whenever RNP fails to decrypt a…
    B. Mueller
    December 20, 2020 at 1:35 PM

    So einfach kann es also sein - danke für die Info.

    ja, so einfach scheint es zu sein.

    mir ging es ja auch so - und deswegen war ich so stinkesauer - und habe das mit

    deutlichen worten zum ausdruck gebracht.

    natürlich ist man misstrauisch, wenn irgendeine software nach einer passphrase

    fragt.

    aber "hey, das ist thunderbird. denen wird man ja wohl vertrauen können"

    ich wäre nie auf die idee gekommen, dass die sich einfach der decrypteden key

    einverleiben und für sich behalten.

    und man muss nicht verschwörungstheorie studiert haben, damit einem das

    mindestens erst mal seltsam vorkommt.

    Warum es so wenig Drama gibt wurde gefragt. Dazu kann ich behilflich sein. Die Frage kann mit einem bekannten Kinderlied beantwortet werden. Es ist nicht mehr gelitten. Machen wir es wie die Toten Hosen. Ersetzen wir den fraglichen Begriff. Hier durch das Wort E-Mailschreiber. Mit Versen kann ich mangels Talent nicht dienen.

    Von 1000 kleinen E-Mailschreibern verschlüsseln 990 nicht. Da warens nur noch 10.

    Von 10 kleinen E-Mailschreibern nehmen 7 S/MIME. Da warens nur noch 3.

    Von drei kleinen E-Mailschreibern schützen 2 ihrer Computer richtig. Da war es nur noch einer.

    Ein kleiner E-Mailschreiber verstehts jetzt vielleicht auch.

    Unser Verein. Unsere DNA.