Wie kann ich privaten PGP Schlüssel mit einer Passphrase schützen?

Thunderbird-Version: 128.6.1esr (64-bit)
Betriebssystem + Version: Kubuntu 22.04
PGP-Software / PGP-Version: Thunderbird - "OpenPGP Key Manager" und OpenPGP

Ich habe mit der Standalone PGP Software ein Schlüsselpaar erzeugt, bei dem der private Schlüssel zusätzlich mit einer Passphrase geschützt ist. Es gelang mit aber bisher nicht, dieses Schlüsselpaar in Thunderbird zu verwenden. Ich kann beide Teile des Schlüssels erfolgreich importieren und wenn ich eine Testnachricht an die Empfänger-Adresse verfasse, wird mir auch angezeigt, dass PGP Verschlüsselung möglich ist. Wenn ich die Verschlüsselung aktiviere, kommt aber die Fehlermeldung, dass kein öffentlicher Schlüssel für die Empfänger-Adresse verfügbar wäre. Der Schlüssel wurde aber mit der Korrekten Email-Adresse erstellt und in Thunderbird importiert. In der Liste der verfügbaren Schlüssel wird er auch mit dieser Email Adresse angezeigt. Im Anhang ist ein Screenshot.

In Thunderbirds integriertem "OpenPGP Key Manager" konnte ich ein Schlüsselpaar erzeugen und mit Thunderbird verwenden. Allerdings finde ich keinen Weg, den dort erstellten privaten Schlüssel mit einer Passphrase zu schützen.

In den Details der Schlüssel ist mir ein Unterschied aufgefallen: Das Schlüsselpaar, das mit dem in Thunderbird integrierten "OpenPGP Key Manager" erstellt wurde, enthält einen subkey "Encrypt", der bei dem importierten Schlüsselpaar fehlt.

Muss man etwas spezielles beachten, wenn man ein Schlüsselpaar importieren möchte, dass nicht nur zum Signieren sondern auch zum Verschlüsseln genutzt werden soll?

OK, das Problem mit den importierten Schlüsseln ist jetzt gelöst, die Frage dieses Threads aber leider noch nicht.

Ich habe das bisherige Schlüsselpaar gelöscht und ein neues erstellt und dieses mal die Option --full-generate-key verwendet. Das neue Schlüsselpaar wird jetzt von Thunderbird korrekt der Email Adresse zugeordnet.

Auch dieses Mal musste ich beim Importieren des privaten Schlüssels die Passphrase angeben, die ich beim Erstellen des Schlüssels festgelegt habe. Anscheinend hat Thunderbird den Schlüssel aber ohne Passphrase gespeichert, denn ich kann empfangene Email ohne Abfrage entschlüsseln und zu versendende Emails ohne Abfrage signieren. Im Passwort-Manager konnte ich keinen Eintrag finden.

Auf meiner Workstation ist das noch akzeptabel aber auf meinem Laptop wäre es mir anders lieber.

Sehr vielen Dank Euch Beiden für die Hinweise!

Quote from ThoBa

Abhilfe schafft grundsätzlich nur das externe Verwalten von privaten Schlüsseln, wobei dann auch immer die Passphrase bei verschlüsselten Mails erfragt wird!

Klingt vielversprechend. Das werde ich morgen mal ausprobieren.

Quote from ggbsde

Vermutlich schützt TB die Schlüssel, ebenso wie die Passwörter, durch das Master Passwort.

Ich gehe davon aus, dass Du damit Recht hast. Die Schlüsselringe habe ich im Profil-Verzeichnis gefunden. Sie sind aufgeteilt in pubring.gpg für öffentliche Schlüssel und secring.gpg für private Schlüssel. Während ich pubring.gpg problemlos lesen und den Inhalt exportieren konnte, war der Zugriff auf secring.gpg zum Glück nicht so einfach möglich. Die geheimen Schlüssel scheinen also geschützt zu sein.

Ein Master Passwort zu setzen würde das Problem sicher lösen, wäre aber mehr als ich eigentlich möchte. Das werde ich als letzten Ausweg probieren, wenn ich keine andere Lösung finde.

Quote from ThoBa

Abhilfe schafft grundsätzlich nur das externe Verwalten von privaten Schlüsseln, wobei dann auch immer die Passphrase bei verschlüsselten Mails erfragt wird!

Das lies sich sehr leicht einrichten und funktioniert einwandfrei. Ich habe es zunächst nur auf meiner Workstation getestet und da gibt es leider das Problem, dass die Passphrase in ein X-Window (von GnuPG) eingegeben werden muss, das eine Art exklusiven Focus einfordert. Das bedeutet also, wenn ich zur Eingabe der Passphrase aufgefordert werden, kann ich kein anderes Programm mehr bedienen und dementsprechend auch nicht die Passphrase aus meinem Passwort-Manager kopieren.

Auf der Workstation benutze ich KDE mit Xorg. Möglicher Weise besteht das Problem nur bei dieser Konfiguration. Auf dem Laptop benutze ich XFCE mit Xorg (XFCE läuft zur Zeit nur experimentell mit Wayland).

Welches Desktop Environment benutzt Du, ThoBa und hast Du dabei das gleiche Problem?

Quote from ggbsde

Vermutlich schützt TB die Schlüssel, ebenso wie die Passwörter, durch das Master Passwort.

Je länger ich darüber nachdenke, desto besser gefällt mir der Vorschlag. Auf meiner Workstation würde ich ein Master Passwort für Thunderbird nicht haben wollen aber auf dem Laptop hat das durchaus Vorteile.

Quote from ThoBa

Probleme können sich hier nicht ergeben, da ich meine Passphrasen für die unterschiedlichen Mail-Adressen im Kopf habe.

Ich benutze eine Passwort Datenbank, die mit einer sehr starken Passphrase verschlüsselt ist. Diese Passphrase ist zwar sehr kompliziert aber das einzige, was ich mir merken muss. Alle anderen Passwörter sind zufällig generiert, kryptisch und überhaupt nicht einprägsam. Die vielen Passwörter im Kopf zu behalten, wäre für mich nur möglich wenn ich deutliche Kompromisse bei der Stärke der einzelnen Passwörter machen würde.

Quote from ThoBa

Solltest du dich für ein Master-Passwort entscheiden, was eigentlich immer vorteilhaft ist, so besteht für potentielle Angreifer auch dann die Möglichkeit, deine geheimen Schlüssel - ohne Kenntnis der Passphrase - zu stehlen! Sie brauchen nur den Zeitpunkt abwarten, an welchem du dein Thunderbird unbeaufsichtigt laufen lässt. Zudem kann ein Angreifer während dieser unbeaufsichtigten Zeit auch all deine verschlüsselten Nachtrichten lesen und in Sekundenschnelle entschlüsselt kopieren. Bitte beachte all diese Dinge.

Das Risiko kann ich ausreichend eingrenzen. Mein Laptop ist im eingeschalteten Zustand eigentlich nie unbeaufsichtigt und außerdem nie im Hybernate-Modus, sondern wird immer komplett heruntergefahren. Das einzige Risiko das ich nicht komplett ausschließen kann, ist dass er im ausgeschalteten Zustand irgendwo gestohlen wird.

edit:

Trotzdem natürlich sehr vielen Dank für den Hinweis.