PGP-verschlüsselte Mail senden in Thunderbird

[Ugi31]

Hi,

ich wollte eine Mail via PGP-Verschüsselung verschicken. Erst dachte ich, dass ich selber einen persönlichen Schlüssel kreieren muss, das soll aber falsch gewesen sein, hab dann den Schlüssel gelöscht und nun das hier gemacht


1. Habe den Schlüssel von der Webseite in die Zwischenablage kopiert (https://cdnstatic.secure.spiegel.de/SP/2020/000/SPIEGEL_Verlag_Hamburg_27FF8ADC_Public.asc)

2. Dann in Thunderbird auf Extras->OpenPGP Schlüssel verwalten und da dann auf Bearbeiten->Schlüssel aus Zwischenablage importieren.
3. Dann Mail verfasst und bei Sicherheit "Nur mit Verschlüsselung senden" angeklickt.

Problem:

Beim Senden erhalte ich allerdings nun diese Fehlermeldung:
"Die Nachricht konnte nicht gesendet werden, da es ein Problem mit ihrem persönlichen Schlüssel gibt. Die konfigurierte Schlüssel-ID '176208F9020..." wurde nicht in ihrem Schlüsselbund gefunden."

Die Schlüssel-ID ist die ID von dem Schlüssel, die ich erstellt und dann wieder gelöscht hatte.

 

[Tada100]

Denke das solltest du mal Durchlesen.

https://www.heise.de/ct/artikel/Einfach-erklaert-E-Mail-Verschluesselung-mit-PGP-4006652.html

 

[DeusoftheWired]

Ergänzend zum Link von Tada100: Enigmail ist mittlerweile in Thunderbird integriert. Du kannst dir bequem daraus einen eigenen PGP-Schlüssel erzeugen.

Wenn du dem Spiegel eine PGP-verschlüsselte Mail schicken möchtest, mußt du dir erst einen eigenen Schlüssel erstellen und danach den öffentlichen des Spiegels in Thunderbird importieren. Das kannst du über die vom Spiegel bereitgestellte .asc machen.

Vor dem Klick auf Senden prüfen, ob die Verschlüsselung auch aktiv ist:

 

[Bob.Dig]

Es ist wohl nicht Enigmail, sondern etwas anderes. Und theoretisch sollte der öffentliche Schlüssel des Empfängers reichen? ...auch wenn ich da keine praktische Erfahrung habe.

 

[RalphS]

Nein, reicht nicht. Der eigene Schlüssel wird zumindest für die Signatur benötigt, im Zweifel aber auch für das eigene Archiv- ohne eigenen Schlüssel könnte man seine eigenen Mails nicht lesen.

Wie schon geschrieben. Erst ein eigenes Schlüsselpaar erstellen. Dann den eigenen öffentlichen Schlüssel veröffentlichen- nicht den privaten. Dann Mail schreiben.
Meist holt sich gpg den zur Mailadresse gehörigen Schlüssel selber (deswegen haben wir diesen vorhin veröffentlicht); falls nicht, muß man ihn halt importieren.

Signiert geht ohne Zielschlüssel. Encrypted aber nicht.

 

[Bob.Dig]

Nein, reicht nicht. Der eigene Schlüssel wird zumindest für die Signatur benötigt, im Zweifel aber auch für das eigene Archiv- ohne eigenen Schlüssel könnte man seine eigenen Mails nicht lesen.

Ja genau, ist halt optional. TE (mit 3 Posts...) sagte auch: Nur mit Verschlüsselung senden, sprich kann ggf. auf das Signieren verzichten.

 

[RalphS]

das geht nicht, bzw sollte es nicht gehen.

Einfach kurz Google anstrengen mit pgp encrypt without signing.

In kurz. Jeder kann einen Mailabsender fälschen, egal ob verschlüsselt oder nicht. Encryption ohne Signature ist daher wertlos, für den Absender und insbesondere auch für den Empfänger.

 

[Bob.Dig]

@RalphS Darum geht es aber ggf. nicht. Rein technisch braucht man für die Verschlüsselung nur den öffentlichen Schlüssel des Empfängers und das kann je nach Anwendungsfall halt genug sein.

Habe es jetzt mal getestet, ein aktuelles Thunderbird verweigert die PGP-Verschlüsselung, wenn kein eigenes Schlüsselpaar vorhanden ist. Ob dies nun nur diese Implementierung oder generell PGP betrifft, kann ich aber nicht sagen.

Mein AG z.B. versendet verschlüsselte Nachrichten per S/MIME nur unsigniert, gibt es also alles.

 

[RalphS]

S/Mime ist nicht pgp, da hat man die Signatur im Zertifikat und die verschlüsselte Nachricht “erweitert“ die signierte Nachricht. Die ist dort inbegriffen.


Du hast es doch selber getestet und festgestellt. Und nein, mir sind x.509 und pgp schon vertraut gewesen, da gabs weder lets encrypt noch gnu privacy guard aka gpg.

Ja, theoretisch geht es, exakt wie du sagst. Bin mir relativ sicher, daß es auch praktisch geht, denn gpg ist nicht auf Mails beschränkt.Muß man im Zweifel auf die Kommandozeile, aber ja, es geht.

Nur: wie sich leicht herausfinden läßt, ist unsigniert verschlüsselt unsicher, umso mehr, da Sicherheit vorgetäuscht wird. Wie in paar besser unerwähnt bleibenden Anwendungsfällen auch.

 

[DeusoftheWired]

S/Mime ist nicht pgp, da hat man die Signatur im Zertifikat und die verschlüsselte Nachricht “erweitert“ die signierte Nachricht. Die ist dort inbegriffen.

Wenn das so ist, weshalb existiert z. B. in Outlook dann überhaupt die Option, zusätzlich zum Verschlüsseln mit S/MIME außerdem noch zu signieren? Ist das nur für die Bequemlichkeit, die Signatur losgelöst verfügbar zu haben?

 

[RalphS]

Kann man die beide gleichzeitig auswählen? hab schon ne Weile kein outlook mit smime mehr verwendet.
Ansonsten lehn ich mich aus dem Fenster und sag, die zusätzliche Signatur ist bei smime(!) unnötig.

Letztlich funktioniert es ja konzeptuell so wie pgp, nur daß der Encryption key im Zertifikat steckt. Das Zertifikat wiederum wird mitgeschickt. Ob ich jetzt mein Vertrauen an eine funktionierende Zertifikatskette hänge oder daran, daß der messagehash der Signatur stimmt, ist Ansichtssache. (Note: wenn die Nachricht verschlüsselt ist, sonst ist die Signatur wichtig und richtig. )

Mein Zertifikat ist meine Identität. Das muß mir jemand ausstellen.

Demgegenüber PGP und Ableger. Da stelle ich meine keys selber aus.

 

[DeusoftheWired]

Kann man die beide gleichzeitig auswählen?

Yep, beide sind unabhängig voneinander auswählbar. Du hast also vier Möglichkeiten:

• unverschlüsselt ohne Signatur
• unverschlüsselt mit Signatur
• verschlüsselt ohne Signatur
• verschlüsselt mit Signatur

Kenne es auch nur von der Arbeit und dem dort erzwungenen Outlook.

 

[RalphS]

Hm.
Bin jetzt noch mal durch die RFC durch. Dort heißt es:

This section describes the format for enveloping a MIME entity
without signing it. It is important to note that sending enveloped
but not signed messages does not provide for data integrity. The
"enveloped-only" structure does not support authenticated symmetric
algorithms. Use the "authenticated enveloped" structure for these
algorithms. Thus, it is possible to replace ciphertext in such a way
that the processed message will still be valid, but the meaning can
be altered.

Die Integrität der Mail hängt also an der Verschlüsselung. Kann die aufgehoben werden, zb mit einem schlauen MitM, dann erfährt der Empfänger das nicht.

Ich denke (!) daß das eher akademisch ist, aber das Risiko ist da.

Also revidiere ich meinen Punkt dahingehend, daß auch per smime eine zusätzliche Signatur sinnvoll ist. Jedenfalls dann, wenn Integrität gegeben sein soll, was - im Hinblick auf dasselbe Argument bei GPG — bei verschlüsselten Mails immer der Fall sein sollte.

Danke für den Hinweis.

 

[DeusoftheWired]

Hut ab fürs Nachschlagen des RFC und das Revidieren! 👍

 

[RalphS]

Ist auch für mich wichtig. Falsche Faktenbasis geht ganz doll schief wenn man drauf aufbauen will und ne Sache wird nicht dadurch richtig, daß ich das felsenfest behaupte 😅

Deswegen auch das Dankeschön. Gegenchecks fallen immer mal unter den Tisch nach dem Motto

Fakten sind Meinungen, von denen man vergessen hat, daß sie welche sind.

👍

 

[goettli]

Hallo zusammen,



folgend meine Lösung, vlt. hilft sie jemandem weiter.

Ich hatte die Fehlermeldung:

"..die konfigurierte Schlüssel id XYZ wurde nicht in ihrem schlüsselbund gefunden"



Problem, mein alter Schlüssel war verlorengegangen. Warum, und wieso weiß ich nicht, ist auch ein anderes Thema.

Habe also einen neuen erzeugt.

Schlüssel ABC

Wenn ich nun eine verschlüsselte Mail versenden wollte, kam oben genannte Fehlermeldung mit dem alten Schlüssel XYZ statt ABC.



Ich habe dann also auf meinem PC nach Dateiinhalten mit dem Schlüssel XYZ gesucht (dieses 0x am Anfang habe ich weggelassen, nur die letzten 16 Ziffern, falls das von Relevanz sein sollte.)

Habe dann diese Datei prefs.js hier in folgendem Pfad gefunden

diese habe ich mit notepad++ geöffnet und in der Datei nochmals nach XYZ gesucht. An der STelle habe ich dann die letzten 16 Ziffern von ABC eingefügt und gespeichert (thunderbird muss dabei geschlossen sein!)

jetzt funktionierts...

vlt hilft das jemandem weiter, den diesen Lösungsweg konnte ich bisher nirgends finden.

Beste Grüße