Defekte Backups von privaten Schlüsseln

Um Rückfragen vorzubeugen, bitten wir um folgende Angaben:

• Thunderbird-Version (konkrete Versionsnummer 78.11.0 (32-Bit)
• Betriebssystem + Version: Windows 10 Pro 21H1
• Kontenart (POP / IMAP): IMAP
• Postfachanbieter (z.B. GMX): eigener Server
• PGP-Software / PGP-Version: Thunderbird, Gpg4win-3.1.16
• Eingesetzte Antivirensoftware: Microsoft Defender
• Firewall (Betriebssystem-intern/Externe Software): Windows Firewall

Hallo Community,

folgende Situation:

1. Ich habe in Thunderbird ein Schlüsselpaar erstellt, das aus einem primären Schlüssel mit ID #A, EDDSA, und einem Unterschlüssel mit ID #B, ECDH, besteht.
2. Dieses Schlüsselpaar habe ich über die Funktion "Sicherheitskopie für geheime(n) Schlüssel erstellen" aus Thunderbird exportiert und in diesem Zuge eine sichere Passphrase #P eingegeben.
3. Die so erzeugte Datei lässt sich nun problemlos in Kleopatra importieren, sowohl der primäre Schlüssel als auch der Unterschlüssel sind vorhanden - soweit so gut.

Aber jetzt wird's wild:

• Ich kann mit dem so importierten privaten Schlüssel andere Schlüssel signieren; Kleopatra/GPG fragt dazu nach einer Passphrase, bei der es sich um die oben vergebene #P handelt.
• Ich kann mit diesem Schlüssel aber eine Datei, die ich ich zuvor mit dem zugehörigen öffentlichen Schlüssel als Empfänger verschlüsselt habe, nicht entschlüsseln! Gpg identifiziert den Unterschlüssel #B als den passenden privaten Schlüssel und fragt nach dessen Passphrase, #P scheint aber hier nicht mehr gültig zu sein.
• Ebenso können Kleopatra/Gpg die Passphrase des Schlüssels nicht ändern, wieder weil beim Öffnen des Unterschlüssels #B die beim Backup aus Thunderbird gewählte Passphrase #P nicht gültig ist.

Die Indizien scheinen darauf hinzudeuten, dass Thunderbird beim Backup des privaten Schlüssels nur den primären Schlüssel mit der gewählten Passphrase umverschlüsselt, dabei aber den Unterschlüssel vergisst, so dass dieser nach wie vor mit der vom Thunderbird automatisch generierten und nur durch das Profil Master Passwort geschützen Passphrase geschützt ist.

Ist das ein bekanntes Problem? Gibt es eine Möglichkeit, den Inhalt von encrypted-openpgp-passphrase.txt zu entschlüsseln, Besitz des vollständigen Thunderbird Profils nebst zugehörigem Master Passwort vorausgesetzt, um mit GPG auf dem Fußweg ein funktionsfähiges Backup meiner privaten Schlüssel zu ziehen?

Oder liegt meine Vermutung völlig daneben?

Die Schlüsselstruktur sollte hier nicht das Problem sein. Das Schlüsselpaar wurde ja von Thunderbird's OpenPGP Implementation selbst erzeugt, also müsste man annehmen dürfen dass Thunderbird mindestens selbst erzeugte Schlüsselpaare ohne Einschränkungen verarbeiten kann.

Was sich als Überleitung zu einem Update anbietet:

Nach ein paar weiteren Tests scheint sich das Problem auf Elliptic Curve Schlüsselpaare zu beschränken. Zum Nachvollziehen:

1. Schlüsselpaar mit RSA erzeugen, Backup exportieren, in GPG importieren, Passphrase ändern. GPG kann den kompletten Schlüssel einlesen, entschlüsseln und mit neuer Passphrase speichern.
2. Schlüsselpaar mit Elliptic Curve erzeugen, Backup exportieren, in GPG importieren, Passphrase ändern. Dieses mal erfragt GPG die alte und neue Passphrase, fragt danach aber nach einer weiteren Passphrase für den Subkey; keine vom Benutzer zuvor manuell eingegebene Passphrase wird akzeptiert.

Ich werde das mal beim Thunderbird Bugtracker posten. Kennt derweil jemand einen Workaround, wie ich Schlüssel direkt aus dem Thunderbird pubring/secring ausschleusen kann, ohne das Backup Feature nutzen zu müssen?