Warnung vor Firefox-Add-on Mailvelope

Zitat von slengfe

Jetzt heißt es nach Alternativen suchen...

Das verstehe ich gerade hier im Forum nicht. Aus dem Artikel:

Zitat

Bis die neue Sicherheits-Architektur in Firefox implementiert ist, empfehlen Posteo und Cure53 ein Ausweichen auf andere Software-Lösungen: "Nutzen Sie Mailvelope entweder in einem anderen Browser oder verwenden Sie PGP mit einem lokalen E-Mail-Programm."

Also einfach TB/Enigmail verwenden und gut ist's.

Davon abgesehen, dass private E-Mails am Arbeitsplatz offensichtlich unerwünscht sind und deshalb wohl die Ports blockiert werden, einfach das Smartphone benutzen.

Zitat von slengfe

Also suche ich...

Bis zu einem Fix gibt es genau die beiden oben genannten Möglichkeiten:

1. Einen anderen Browser als den Firefox zu verwenden.
2. Mails nicht per Browser sondern per Mailprogramm abrufen.

Ich verstehe nicht, wonach Du suchst.

Vielleicht kann ich Dir ja im Gegenzug etwas Zeit schenken. Du weißt, dass es Mailvelope nur für den Firefox und Chrome gibt? Zu Punkt 1 vereinfacht sich die Suche daher deutlich.

Nein, Du bist nicht bei Deiner IT-Abteilung. Die verhalten sich m.E. völlig korrekt. Sie können auch nichts dazu, dass der Firefox einen Mangel hat.

Wenn Dich diese Lücke besorgt, dann lauten die Alternativen Chrome (evtl. auch ein Ableger) oder halt ein E-Mail-Client auf dem Smartphone. Eigentlich ganz simple und kein Grund, sich im Kreis zu drehen.

Zitat von slengfe

Kann diese Erweiterung jemals wieder sicher werden?

Die Erweiterung hat kein Problem. Es ist ein Problem des Firefox. Es hängt also von Mozilla ab.

Die genaue Beschreibung der Lücke im Firefox wird ja aus guten Gründen zunächst einmal nicht veröffentlicht. Somit bleibt alles ein stückweit Spekulation.

Aus den beiden Artikeln geht aber hervor, dass die Lücke von einem anderen Add-On ausgenutzt werden kann. Dieses "böse" Add-On kann dann den geheimen Schlüssel auslesen.

Deshalb funktioniert auch die Notlösung: Eine eigenes Profil mit keinem weiteren Add-On außer Mailvelope. Kein Add-On - keine Ausnutzung der Lücke.

Ich verstehe immer noch nicht, weshalb das so ein Problem für Dich ist. Soviel Gezuppel bei einer so einfachen Lösung.

Wenn Du keinen TB zur Verfügung hast, benutze halt Dein Smartphone oder weiche für diese Zeit einfach auf Chrome aus. Es genügt ja, wenn Du Chrome nur zum Lesen der Mails verwendest, wenn es denn unbedingt per Webmail sein muss.

Zitat von slengfe

Wenn Du mir eine Möglichkeit aufzeigst, wie ich GPG/PGP auf iOS implementieren kann - immer her damit.

Bitte sehr: https://ipgmail.com/

Das war gleich der erste Treffer in der Suche. Es gibt möglicherweise noch andere Apps.

(Btw., das hättest Du auch gleich schreiben können anstatt um den heißen Brei herum zu tanzen. )

Zitat von generalsync

der Audit selbst scheint nicht veröffentlicht geworden sein, oder habe ich etwas übersehen?

Nein, hast Du nicht. Laut der Artikel werden die Details zum Glück zurückgehalten, bis Mozilla das Problem gelöst hat, vielleicht mit Version 57.

Zitat von generalsync

Die Funktionalität von Add-ons ist an sich kein Sicherheitsproblem, solange Nutzer Add-ons mit derselben Sorgfalt installieren, die bei jeder anderen Software-Installation ebenfalls vonnöten ist.

Das Problem scheint darin zu liegen, dass Erweiterungen, bedingt durch die Architektur des Firefox, auf andere Erweiterungen zugreifen können. Denkbar also, dass eine Erweiterung dann den entschlüsselten geheimen Schlüssel einfach aus dem Speicher von Mailvelope liest und an einen Dritten sendet.

Zitat von generalsync

Mir klingt das gerade nach Panikmache. Übersehe ich etwas?

Das war auch mein erster Gedanke. Aber ich kann und mag es aufgrund der fehlenden Details nicht wirklich beurteilen.

Wie sähe so ein Angriff aus? Zunächst müsste jemand eine passende Erweiterung schreiben und dann das Opfer dazu bringen, diese zu installieren. Der Programmierer dieser Erweiterung müsste aber irgendwie auch noch durch die Mozilla-Prüfung kommen, um sie signieren zu lassen.

Man kann das man aber möglicherweise auch silent durchführen, ohne dass das Opfer davon etwas mitbekommt, einfach indem man die entsprechenden Dateien in den Profilordner kopiert, vielleicht sogar in bestehende Erweiterungen hinein. Das kann ich nicht beurteilen. Dazu kenne ich die Interna des Firefox zu wenig.

Ein anderes Scenario wäre, eine schädliche Version einer beliebten Erweiterung in Umlauf zu bringen, vielleicht eine dieser verbreiteten YouTube-Downloader oder GEMA-per-Proxy-Umgehungen. Damit hätte man eine ordentliche Streuweite. Auch hier bliebe aber das Problem der Signatur durch Mozilla.

Auf meinen Anwendungsfall bezogen, wäre das Risiko absolut überschaubar. (Ganz davon abgesehen, dass ich Webmail eh nicht nutze). Die kommerziellen Kraken, vor denen ich mich schützen möchte, werden bestimmt keinen Exploit schreiben. Außerdem wechsele ich meine Schlüssel hin und wieder.

Für einen gezielten Angriff wäre ich natürlich auch viel zu uninteressant, und mehr als 90% meiner E-Mailkommunikation finden eh unverschlüsselt statt.

Wäre ich jedoch ein Unternehmen, das Industriespionage zu fürchten hat, und damit ein mögliches Ziel, dann wäre mir das Risiko zu hoch.

Ganz davon abgesehen, kann man sich, wie oben erwähnt, so einfach schützen, dass es überhaupt keinen Grund gibt, lange zu Zögern (außer für slengfe ). Einfach Mailvelope vorläufig nicht mehr mit dem Firefox nutzen und gut is.