Einstellungen für Masterpasswort [erl.]

Guten Tag madpott (<== Ja, so viel Zeit nehmen wir uns hier.)

Ich weiß nicht, wo du "deinen Thunderbird" her hast.
Aber bei allen TB-Versionen seit 1.?, die ich bisher genutzt habe war das mit dem Masterpasswort so, dass du damit die Passwortdatei in welcher alle Konto- und sonstigen Passwörter gespeichert sind, ver- bzw. entschlüsselst.
Oder anders gesagt, so lange diese Datei nicht mit dem Masterpasswort entschlüsselt ist, kann der Thunderbird die darin gespeicherten Passwörter nicht an den anfragenden Server weitergeben.
Als zusätzliche Sicherheit wird bei der Anzeige der gespeicherten Passwörter noch einmal nach dem Masterpasswort gefragt.

Wenn dir also die Eingabe des Masterpasswortes zu viel Mühe macht, kannst du die Verschlüsselung deaktivieren und ohne Masterpasswort arbeiten.

Mit den bei uns üblichen
"freundlichen Grüßen"!

Peter

Hallo,

Zitat von "madpott"

Was ich meine ist, das es bei bei TB2 man einstellen konnte das man das Masterpasswort nur eingeben muss wenn benötigt wird. Beim Start von Thunderbird musste ich es nie eingeben sondern nur wenn ich z.b. mit die Passwörter in Klartext anzeigen lassen wollte.
Bei Thunderbird 3 ist es so das bei jedem Start das Masterpasswort eingetragen werden muss.

aus den Versionshinweisen zu Thunderbird 3.0:
Alle Systeme (--> 1. Satz)

(Auch auf die Gefahr hin, dass es madpott wieder ignoriert:)
Hallo madpott,

ob das Masterpasswort gleich beim Start des Programms (vorsorglich) abgefragt wird, oder erst dann, wenn das erste Konto abgefragt wird und der Server nach dem Masterpasswort verlangt, ist doch so was von egal.
Zumal bei vielen Nutzern mittlerweile mit diesem Masterpasswort nicht nur die Konto-Passwörter, sondern auch diverse Passwörter für ftp- und WebDAV-Server (=> Kalenderdateien) und auch Verschlüsselungszertifikate gesichert werden.
Also ist die vorsorgliche Abfrage des Masterpasswortes schon eine gute und richtige Lösung.

Wir können gern darüber diskutieren, aber bis jetzt hast du uns ja auch noch keinerlei Begründung dafür genannt, weshalb dich dieses Verhalten stört.

MfG Peter

Zitat von "madpott"

Warum sollte ich es ignorieren ???

Ich meinte den bei uns üblichen Gruß ... .
(Und lag wieder mal richtig.)

Hallo,

Zitat von "madpott"

Sorry aus anderen Foren bin ich es gewohnt das nicht unter jedem Beitrag ein Gruß geschrieben wird oder immer eine separate Begrüßung..

andere Foren - andere Sitten!

Hallo,

um das Thema nochmal aufzugreifen und hoffentlich doch voranzutreiben:

Meine Mitarbeiter sollen Zugriff auf einen bestimmten ics-Kalender über Horde WebDAV bekommen. Um den Zugriff zu gewähren, muss ich mein Kennwort angeben, dass meine Mitarbeitern aber nicht unbedingt im Klartext einsehen können sollten.

Ohne Masterkennwort kann man die gespeicherten Kennwörter "anzeigen lassen".
Mit eingestelltem Masterkennwort kann man ohne dessen Angabe nicht arbeiten, nach der Eingabe sich aber einfach die gespeicherten Kennwörter anzeigen lassen.

Die oben Beschriebene Funktionsweise: 'Masterkennwort wird nur abgefragt, wenn gespeicherte Kennwörter angezeigt oder geändert werden sollen' - wäre ideal!

Gruß

Freiheit

Hallo Freiheit,

und willkommen im Forum!
Ich kann einen Wunsch gut nachvollziehen - aber das ist mit "Bordmitteln" nicht, oder zumindest nicht mit zumutbarer Sicherheit, möglich.
Wie ich schon an verschiedenen Stellen beschrieben habe, wird die Speicherdatei der Passwörter mit dem Masterpasswort verschlüsselt. Dies dient dem Schutz eben dieser gespeicherter Passwörter. Und wenn diese vom Server angefordert werden, muss der Client diese liefern => also muss diese Datei vorher entschlüsselt werden. Und wenn sie einmal entschlüsselt ist, kann jeder der das Masterpasswort kennt, die einzelnen PW auslesen.
Speicherst du die PW ohne Masterpasswort kann jeder die Passwörter sehen, auch nicht gut. Es hat auch jeder die Möglichkeit, die Passwortdatei "mit nach Hause zu nehmen", und dort in aller Ruhe zu untersuchen - und wenn er diese in seinem Thunderbird reinkopiert. Gleiches trifft auch zu, wenn nach Eingabe des Masterpasswortes diese entschlüsselt wurde! => Also was soll es bringen, wenn man die Passwörter in der grafischen Oberfläche etwas verstecken würde? (Was sicherlich gelingt!)

Die einzige technisch und auch von der Sicherheit her sinnvolle Lösung sehe ich folgendermaßen:
In fast allen WebDAV-Konten kann man zusätzliche Benutzergruppen anlegen ("Gastzugänge" o.ä.). Diese können mit einem eigenen Benutzernamen + PW gesichert werden. Also die Kalender + sonstige Daten, welche die Mitarbeiter eh sehen können, in eine derartige Benutzergruppe verschieben. Und "Chefsachen" bleiben in einer anderen Gruppe.

NB:
Das beschriebene ist IMHO bei allen mir bekannten Mailclients so. Der berechtigte Nutzer für irgend ein Konto kann seine Passwörter sehen. Warum auch nicht? Manchmal werden die sichtbaren (!!!) Passwörter durch Sternchen überdeckt. Aber da gibt es seit Jahren kleine vom Stick laufende Programme, welche die Sternchen durch die dahinter liegenden realen PW austauschen. Und je mehr Klimmzüge du unternimmst, desto erfindungsreicher werden deine Mitarbeiter. Das ist so, ob du mir das glaubst, oder nicht. (Derjenige, der die PW unbedingt haben will, nimmt die PW-Datei mit nach Hause, kopiert diese in ein Testprofil, spricht den Server an - und liest mit einem Sniffer die gesendeten PW mit. Nur mal so als Beispiel.)

Es gibt zum Vorgenannten eine einzige Ausnahme.
Bei richtigen professionellen Programmen wie zum Bsp. Notes werden kryptologische Schlüssel für die Benutzerauthentifizierung (die sog. Notes-ID) genutzt. Hier kannst du als Administrator exakt festlegen, wer (welche ID) auf welchem Konto welche Zugriffsrechte hat. Hier besitzt und kennt jeder Nutzer nur seine eigene ID, hat aber niemals die Möglichkeit, die Zugriffsrechte auf dem Server zu ändern oder gar Sachen zu sehen, die er nicht sehen soll.
Aber das ist eine "andere Welt" und kein kleiner kostenloser Universal-Mailclient.

MfG Peter