Seit der Version 115 habe ich auch Probleme mit einer digitalen Signatur: Ich tausche mit einem Kollegen regelmäßig E-Mails aus, die jeweils S/Mime-signiert und zum Teil verschlüsselt sind. Bislang lief alles wunderbar, aber seit 115 wird seine Signatur von Thunderbird nicht mehr akzeptiert. Die S/Mime-Verschlüsselung hingegen schon. Es tauchen zwei Ungültigkeitsmeldungen auf: mal wird die "Verschlüsselungsstärke" der Signatur bemängelt, mal sind es "unbekannte Probleme" wie bei malex (siehe Screenshots). Eine Regelmäßigkeit, wann welche Meldung auftaucht, konnte ich nicht feststellen (Ich hatte gedacht, dass vielleicht Anhänge, die Verschlüsselung oder einkopierte oder weitergeleitete Nachrichten die eine oder andere Meldung hervorrufen könnten, aber mir scheint es bislang willkürlich, welche Meldung kommt).
Hallo,
macht mal ein Update auf 115.4.1
und dann
mail.smime.accept_insecure_sha1_message_signatures auf true setzen. (in den Einstellungen nach about:config suchen und dort auf true).
Ursache sind häufig (unsichere) SHA-1 Hashes, die zwischenzeitlich von Mozilla mit 115 abgekündigt worden sind.
Mit der Einstellung oben kann man das wieder aktivieren.
Ursache ist häufig Outlook. Dort ist als Default bei der S/MIME-Konfiguration SHA-1 eingestellt. Besser ist es aber die Verursacher zu bitten, dort SHA256 einzustellen. Aber ist natürlich nicht schön, dass es dann plötzlich mit 115 (häßliches GUI, IMHO) nicht mehr funktionierte. Steht aber jeweils in den Release-Notes. Den Key oben habe ich aus Bugzilla rausgesucht:
Hallo Andreas,
vielen Dank für diesen Hinweis! Mit der entsprechenden Einstellung sind beide Fehlermeldungen verschwunden. Aber ich werde vor allem auch den Kollegen informieren, der tatsächlich Outlook einsetzt, damit er die SHa-Einstellung bei sich ändert. Denn wie ich nun gelesen habe, weisen auch andere, z.B. auch Google SHa-1-Nachrichten als ungültig zurück. Das macht ja keinen guten Eindruck bei den Mailempfängern...
Viele Grüße
von Martin
Hallo, Martin und Andreas.
Ich hoffe, Ihr habt eine Idee zu folgendem Problem, welches auf Eurer Diskussion aufsetzt.
Bin vor kurzem über das Problem mit abgewiesenem SHA1 gestoßen.
Ich war dann über die Lösung mit mail.smime.accept_insecure_sha1_message_signatures and sehr froh (TB 115.4.3). Aber in einem TB 115.5.1 funktioniert diese Lösung nicht mehr!
Muß schon sagen, eine sehr kurzlebige Lösung! Ideen?
/T
Und auch sehr merkwürdig, die Zertifikate überhaupt anzumeckern. Die gesamte öffentliche PKI in Dänemark basiert auf Zertifikaten, die TB nicht schmecken (wegen irgendwas mit SHA1). Kann doch nicht stimmen...?
Habe die Sache etwas näher untersucht, mit überraschenden Ergebnissen.
Als erstes habe ich TB 115.5.1 auf 115.4.3 downgegradet - keine Änderung. Es scheint also nicht an der Version zu liegen.
Danach habe ich Stück für Stück die Konfigurationen der beiden TBs verglichen und siehe da! Auf dem kaputten TB fehlten dem privaten Zertifikat die Häkchen für "This certificate can identify web sites" and "This certificate can identify mail users".
Nach dem Setzen der Häkchen und dem erneuten Import der öffentlichen Empfänger-Zertifikate ging dann alles. Ich bin bereit zu schwören, daß ich dies Häkchen auf dem funktionierenden TB nicht gesetzt habe. Weird...
/T
