Ruhr-Uni Bochum: 3 Angriffe auf Verschlüsselung mit Thunderbird als "Worst Case"?!

Würdest Du uns mit ein wenig Inhalt zu dem Thema versorgen, statt einfach nur einen Link zu senden, den ich derart eigentlich nicht so recht ausstehen kann?

Hallo Thunder,

meines Erachtens sollte der Link entfernt werden!

Gruß

Feuerdrache

Hallo gundheri,

danke für das Nachreichen der Informationen, die schon in Deinen Eingangsbeitrag zur Erläuterung des Links gehört hätten.

Da Du offensichtlich sehr an Datenschutz und Datensicherheit interessiert bist, sollte Dir auch klar sein, dass Links auch zum Schaden anderer gesetzt werden können. Es wäre nicht das erste Mal, dass ein Link (unbedarft angeklickt) auf dem eigenen Rechner Schaden angerichtet hat, ein Forum lahmgelegt hat und vieles mehr.

Und leider haben es viele einzelne, institutionelle wie nichtinstitutionelle "Bösewichte" geschafft das einmal vorhandene "Grundvertrauen" in das weltweite Netz nachhaltig zu zerstören!

Ich habe es jedenfalls für mich so geregelt, dass ich alleinstehende Verlinkungen - egal wo - nicht einmal mit der Beißzange anfasse.

Gruß

Feuerdrache

@gundheri

Zitat von gundheri

Und noch eine Frage: Müssen eigentlich alle meine Beiträge erst genehmigt werden, bevor sie für jeden sichtbar auftauchen?

Diese Maßnahme bezieht sich nicht generell nur auf Ihre Beiträge, sondern ist allgemein bei Neuanmeldungen so vorgesehen, um Spam etc. im Vorfeld aussortieren zu können.

Hallo gundheri,

mit Deinem Edit2 hast Du ja mitgeteilt, dass Du meinen Beitrag inzwischen gelesen hattest, weshalb ich das von mir Geschriebene auch nicht wiederholen muss.

Zitat von gundheri

Aber mal noch eine andere Sache: Da kommt ein Neuling mit gerade mal 3 Beiträgen (also ich) daher, macht was offensichtlich - aber nicht nachvollziehbar - Falsches, der Senior Feuerdrache mit 5000+ Beiträgen schreibt dem Administrator mit ebenfalls 5000+ Beiträgen, dass der Link (hinter dem immer noch kritische, aber interessante Informationen stecken) weg sollte und prompt passiert dies.

Thunder hat zwar meinen Standpunkt wohl in seine Entscheidung einbezogen, aber nicht so scharf, wie ich es mir gewünscht hätte. Bei mir sähest Du in Eröffnungsbeitrag höchstens eine Anzahl von XXXX oder einen Edit-Vermerk "Verlinkung wurde aus ... Gründen entfernt".

Thunder hat zu Deinen Gunsten die Adresse der Verlinkung stehen lassen und die Verlinkung selbst, die zur entsprechenden Seite führt, herausgenommen.

Dies hat zur Folge, dass jeder Leser in eigener Entscheidung und Verantwortung diese Adresse kopieren und in einem Browser in alleiniger eigener Verantwortung einfügen und öffnen kann.

Das Forum bzw. er als Forenbetreiber ist damit in einem möglichen Schadensfalle meiner laienhaften Einschätzung nach außen vor (ich bin kein Jurist).

Im Übrigen hatte Dir Thunder ja fragend einen "Wink mit dem Zaunpfahl" gegeben, bevor ich darauf reagiert habe:

Zitat von Thunder

Würdest Du uns mit ein wenig Inhalt zu dem Thema versorgen, statt einfach nur einen Link zu senden, den ich derart eigentlich nicht so recht ausstehen kann?

Glaube mir, sowohl Thunder als auch die Moderatoren hier im Forum machen solche Entscheidungen nicht davon abhängig, ob jemand viele oder wenige Beiträge in diesem Forum schreibt oder geschrieben hat.

Zu der Freischaltung der ersten Beiträge eines neuen Forenmitgliedes hat Dir ja graba bereits geantwortet.

Gruß

Feuerdrache

Zitat von gundheri

Und noch eine Frage: Müssen eigentlich alle meine Beiträge erst genehmigt werden, bevor sie für jeden sichtbar auftauchen? Das wäre ja noch mehr Zensur und ich kenne das aus keinem anderen Forum, in dem ich manchmal auch schreibe - aktuell 11 an der Zahl!

Da ich mich seit inzwischen fast 18 Jahren mit Foren-Software beschäftige und entsprechend in vielen Support-Foren rund um Foren-Software unterwegs war und bin, kenne ich massenweise Foren, wo Beiträge anfangs erstmal freigeschaltet werden müssen.

Zitat von gundheri

Dann stellt sich bei mir die Frage nach dem "Warum"!!!

Weil mir die Seite unbekannt war bzw. ist und sogar meine kurze Recherche ebenfalls kein zufriedenstellendes Ergebnis brachte.

Zitat von gundheri

Ich weiß nun allerdings nicht, ob es hier unerwünscht ist, negative Nachrichten aus der Thunderbird-Welt einzubringen!

Niemand hat etwas gegen sachliche Kritik. Wenn Du viel im Forum lesen würdest, könntest Du sehen, dass auch mir nicht alles an Thunderbird gefällt. Dein erster Beitrag war auch nicht unsachlich. Er war einfach inhaltlich leer und ehrlich gesagt suspekt - ob es Dir gefällt oder nicht.

Zitat von gundheri

dass der Link (hinter dem immer noch kritische, aber interessante Informationen stecken) weg sollte und prompt passiert dies.

Das hinterlässt doch ein sehr ungutes Gefühl der willkürlichen Zensur!!!

Dein Link wurde nicht entfernt, sondern nur technisch nicht mehr anklickbar gemacht. Der Link bzw. dessen URL steht weiterhin komplett da und kann von interessierten Lesern auch manuell besucht werden. Von angeblicher Zensur reden meist die Leute, die nicht verstehen, dass es in unserem Staat durchaus konkurrierende Gesetze gibt, die gegeneinander abgewogen werden müssen. Ich bin als Betreiber des Forums verpflichtet Beiträge zu sichten und bei Bedarf inhaltlich einzugreifen, auch wenn es in manchen Fällen zu Fehlentscheidungen kommen mag.

Ab dieser Stelle kehren wir alle bitte wieder zum eigentlichen Thema zurück, da es ja durchaus interessant ist oder sein könnte - Danke!

Die angesprochenen Lücken wurden schon vor längerer Zeit entdeckt und gemeldet. Es gab aber offensichtlich eine Sicherheits-Konferenz in Frankreich, bei der die Arbeit der Ruhr-Uni Bochum vorgestellt wurde:

• Alle Papers der Konferenz: https://ieeexplore.ieee.org/xpl/conhome/9153729/proceeding
• Das Paper der Ruhr-Uni Bochum: https://ieeexplore.ieee.org/document/9162218 (letztlich identisches PDF, das oben verlinkt wurde)

In dem Screenshot des Themenstarters ist von A1, A2 und A3 die Rede.

• A1: Bug https://bugzilla.mozilla.org/show_bug.cgi?id=1438949
  Dies ist "Key Replacement" bei S/MIME-Zertifikaten. Dazu gibt es einen 3 Jahre alten Bug, der sich aber wohl letztlich nicht zufriedenstellend lösen lässt, da das S/MIME-System grundlegend kompromittiert - unabhängig von Thunderbird. Wenn ich es richtig verstehe, wird das Zertifikat in Thunderbird aber sowieso nur ersetzt, wenn man einen Dialog mit OK bestätigt. Dabei lässt sich aber leider ein gefälschtes Zertifikat unterschieben, wenn man nicht richtig hinschaut. Wenn ich nicht irre, handelt sich dabei um ein Problem rund um Efail.
• A2 Bug ?
  Ich bin diesbezüglich unsicher, glaube aber, dass dies auch Teil der Efail-Lücke war, die schon 2018 berichtet wurde. Es geht um das Preisgeben der privaten Schlüssel mittels manipulierter E-Mails. Für OpenPGP müsste das schon längst in Enigmail behoben worden sein.
• A3: Bug https://bugzilla.mozilla.org/show_bug.cgi?id=1613425
  Auf heise.de wird dazu berichtet: https://www.heise.de/news/Datenklau…ks-4875586.html
  In dem relevanten Bug 1613425 wurde festgestellt, dass Thunderbird selbst schon vor längerer Zeit die entsprechende Lücke geschlossen hatte und wohl offiziell das Feature sowieso in den finalen Versionen nie unterstützt hatte. Leider lässt sich die Lücke dennoch ausnutzen, wenn man unter Linux die xdg-utils installiert hat. Dazu wurde dort der Issue 177 erstellt.

Der Themenstarter darf sich gerne inhaltlich weiter beteiligen. Es ist nicht notwendig das Forum zu "verlassen".

Zitat von Thunder

A2 Bug ?

Das Szenario ist relativ komplex: Der Angreifer will eine an dich adressierte PGP-E-Mail lesen und er hat diese Mail bereits in verschlüsselter Form abgefangen. Du nutzt standardmäßig aber S/MIME, nicht PGP. Außerdem hat der Angreifer bereits lesenden Zugriff auf dein IMAP-Postfach, in dem du deine Entwürfe speicherst und kann deinen Browser übernehmen.

Der Angriff funktioniert dann wie folgt: der Angreifer übernimmt deinen Browser und öffnet einen manipulierten mailto:-Link während du für mindestens 10 Minuten nicht am PC sitzt und Thunderbird im Hintergrund läuft, kurz nachdem du bereits deine PGP-Passphrase eingegeben hast. Dann öffnet sich Thunderbird und entschlüsselt die Mail in einem neuen Verfassen-Fenster. Nach ca. 10 Minuten wird die Mail dann als Entwurf gespeichert. Da du S/MIME und nicht PGP als Standard gewählt hast, ist dieser Entwurf nicht verschlüsselt (das ist die Sicherheitslücke!). Der Angreifer liest die Mail nun im IMAP-Entwürfeordner, auf den er ja gemäß Szenario Zugriff hat.

Zitat von generalsync

Da du S/MIME und nicht PGP als Standard gewählt hast, ist dieser Entwurf nicht verschlüsselt (das ist die Sicherheitslücke!). Der Angreifer liest die Mail nun im IMAP-Entwürfeordner, auf den er ja gemäß Szenario Zugriff hat.

Stellt sich die Frage, ob das mit der Lösung in https://bugzilla.mozilla.org/show_bug.cgi?id=1650551 ebenfalls vermieden wird.

Zitat von Thunder

Der Themenstarter darf sich gerne inhaltlich weiter beteiligen. Es ist nicht notwendig das Forum zu "verlassen".

Vielleicht gibt es dann auch wirklich inhaltlich mal konkretere Aussagen vom Themenstarter, statt immer nur zu verkünden, dass hier und da geschrieben und gelesen wird.