Kann Thunderbird automatisch angehängte öffentliche Schlüssel mit zum Absender gespeicherten abgleichen?

    Man kann seinen öffentlichen Schlüssel per Voreinstellung an jede ausgehende Email anhängen und so genau an die Empfänger verbreiten, mit denen man zu tun hat. Schlüsselserver braucht man dann nicht.

    Wenn der Empfänger einen öffentlichen Schlüssel schon in Thunderbird importiert hat, wäre es sinnvoll, nach der Signaturprüfung zusätzlich zu übrtprüfen, ob der mitgelieferte Schlüssel bereits in der Schlüsselverwaltung bekannt ist und ggf. mit einem bekannten Schlüssel übereinstimmt (wenn die Schlüssel-ID gleich ist). Vielleicht passiert das schon (aber wo steht das?).

    Wenn es zur Sender-Emailadresse einen anderen öffentlichen Schlüssel in TB gibt und der mitgelieferte Schlüssel neuer ist, wäre ein Hinweis darauf ebenfalls hilfreich. Das würde den Empfänger erinnern, mit dem Sender Kontakt aufzunehmen, den Fingerabdruck des mitgesandten Schlüssels zu prüfen und ihn dann in seine TB Schlüsselverwaltung aufzunehmen und dort als geprüft zu kennzeichnen.

    Wenn ein mitgelieferter Schlüssel alt oder gar älter ist als der neueste zur Senderadresse gespeicherte oder wenn er vom gleich alten gespeicherten öffentlichen Schlüssel abweicht, wäre das als Verdachtsfall einzustufen.

    Kann Thunderbird selbst so eine Prüfung?

    Wenn nicht: Gibt es ein Plugin mit diesen Fähigkeiten?

    TB 91.7.0 (64-Bit)

    auf Xubuntu 20.04.4 LTS
    POP, Maildir, diverse Postfachanbieter,

    gpg (GnuPG) 2.2.19, libgcrypt 1.8.5


    TB kann eine solche Überprüfung, wie sie die vorschwebt, nicht selbst vornehmen und ein Add-on oder Plugin ist mir nicht bekannt. Es ist Aufgabe des Anwenders, die Echtheit eines Schlüssels zu verifizieren.

    Sinnvoll wäre, einen neuen Schlüssel mit dem vorherigen Schlüssel zu signieren. Damit sind gefälschte, untergeschobene Schlüssel, leichter zu erkennen.

    Bei relativ kurzen Laufzeiten sollte man vielleicht auch mal über die Einführung zusätzliche 'subkeys' [1] nachdenken.

    Persönlich tausche ich meinen Schlüssel über 'keys.openpgp.org' [2] aus. Dort können nicht mehr massenhaft Schlüssel mit gefälschter Identität hochgeladen werden, wie es früher bei den bekannten Keyservern der Fall war.

    Ein Link in der Signatur, wie z. B.: 'PGP-Key: https://keys.openpgp.org/vks/v1/by-fing…1B7B526D98F0353' macht es dem Empfänger dann sehr einfach, den Schlüssel zu speichern und in TB zu importieren.

    [1] https://19hundreds.github.io/risks-workflow/about-gpg

    [2] https://keys.openpgp.org/about