- Thunderbird-Produkt
- Thunderbird für Linux
- Thunderbird-Version
- 153
- Betriebssystem
- Windows 11 + Linux Ubuntu Derivate
Hallo Thunderbird-Gemeinde,
Frage in Kurzform:
Wird in Thunderbird ein s/mime Zertifikats-Request erstellt, ist dieser unvollständig. Bis auf die E-Mail-Adresse fehlen sämtliche weiteren Angaben zur Person. Ist das so beabsichtigt? Falls ja, was sind die Gründe dafür? Lässt sich das, z.B. über einen Parameter in der Konfiguration erweitern?
Ausführlich:
Ich betreue ehrenamtlich die Rechner einer ebenso ehrenamtlichen Organisation. Deren Daten sind teilweise sehr sensibel, weshalb zumindest optional eine E-Mail-Verschlüsselung angeboten wird. Benutzt wird dieses Angebot nur sehr wenig, was meiner Meinung nach auch mit der für viele doch zu komplizierten Einrichtung zusammenhängt.
Das wird sich gewiss auch nicht ändern. Was wir aber in jedem Fall erreichen möchten, ist, dass unsere E-Mails signiert werden.
Da wir hier alle zwar viel Engagement haben, aber nahezu kein Budget, haben meine Vorgänger zu diesem Zweck alles per PGP eingerichtet. Das hat leider oftmals den gegenteiligen Effekt. E-Mails von uns erscheinen suspekt, weil die Empfänger nichts mit einem angehängten Schlüssel anfangen können. Wenn sie dann noch gefragt werden, ob sie dem Absender vertrauen, ist die Sorge vor Phishing usw. schnell im Kopf. Dafür habe ich nicht nur Verständnis, ich begrüße die Vorsicht.
Unsere PGP-Schlüssel laufen demnächst ab. Diese Gelegenheit möchte ich ergreifen, um auf s/mime umzustellen. Das erleichtert die Einrichtung bei den Anwendern. Im besten Fall müssen diese gar nichts mehr tun, um unsere Signatur als valide zu erkennen.
Die Zertifikate sind bedauerlicherweise recht teuer. Die wenigen günstigen Anbieter, die ich gefunden habe, erlauben es nicht, die Schlüssel lokal zu generieren und scheiden damit aus. Es ist uns aber gelungen, einen "Sponsor" zu finden, der bereit ist, Zertifikats-Anfragen (CSR) von uns anzunehmen und diese mit seiner CA zu signieren.
Es gibt dabei leider ein Problem. Wenn man im Thunderbird einen CSR erstellt, enthält dieser unter den Angaben des Inhabers lediglich die E-Mail-Adresse. Alle anderen Angaben zum Inhaber fehlen, obwohl sie dem Thunderbird grundsätzlich bekannt sind, zumindest der Name. Damit scheitert die Anfrage.
Ich könnte das Problem umgehen, indem ich die CSRs selbst per OpenSSL erstelle oder editiere. Das möchte ich aber nicht.