Ungewollter Klartextversand von PGP-Mails

Zitat von Veteran

Also nichts von wegen 'ungefragt' …

Na, dann ist der Bug ja nur noch halb so schlimm, wenn eh alle nur ganz bewusst auf Knopfdruck an ihr eigenes Konto weiterleiten.

Du beleidigst die Intelligenz der Leser, wenn du meinst, dieser spezielle, einzelne Anwendungsfall wäre jetzt ein Argument dafür, dass die E-Mails nicht ungefragt weitergeleitet werden. Tatsache ist, dass so ein aktives weiterleitendes Filter eben schon weiterleitet, bevor man die E-Mail gelesen hat. Genau das ist es ja, was diesen Fehler gefährlich macht.

Zitat von Veteran

Deine Unterstellungen entbehren jeder Grundlage und sind auf Dauer einfach nur langweilig.

Ich erinnere mich an einen langen Thread mit dir, in dem u.a. eben das Sperren des Bildschirms ein zentrales Thema war. Also nix mit Unterstellung.

Du bist es, der Mozilla immer wieder etwas unterstellt. Siehe das erwähnte Thema, in dem du behauptest, die Entwickler würden die Sicherheit absichtlich schwächen. Oder dein jüngtes extra groß geschriebenes "Danke Mozilla" im gleichen Tenor. Das wird leider nicht langweilig, sondern ist ein Ärgernis.

Zitat von wicki_w

Also das mit dem "Rechner sperren", das sehe ich auch nicht als so

sehr wichtig an.

Das ist mir unverständlich. Jemand der Zugriff auf deinen Rechner bekommt, kann sich alles abziehen, was er möchte. Und das ist dir nicht so wichtig? Das kann ich mir gar nicht vorstellen.

Außerdem hattest du doch oben genau das als einen möglichen Angriff geschildert:

Zitat von wicki_w

Denn ich brauche ja nur 1 Minute zugang zu dem TB-Mailer des Users ...

Und der einfachste Schutz davor ist numal das Sperren des Rechners. Erfordert gerade mal den Druck auf zwei Tasten.

Zitat von wicki_w

und das auch andere meine mails an meinem TB lesen ist völlig normal.

Tut mir leid. Das ist es für mich und hoffentlich die meisten Mitlesenden keinesfalls. Was soll die ganze Verschlüsselung, wenn andere an deinem Rechner machen können was sie wollen? Da schützt dich ja nicht einmal mehr die Passphrase deines geheimen Schlüssels. Prinzipiell kann jeder, der an deinen Rechner und somit an deine Schlüssel kommt, deine verschlüsselten E-Mails entschlüsseln. Dazu muss man kein Experte sein. Tools dafür findet man im Internet. Da genügen weniger als 5 Minuten an deinem PC und das war's.

Zitat von wicki_w

wir sollten das nicht so zerreden.

Da stimme ich dir zu. Zum Obertfeldwebel schreibe ich deshalb auch nichts mehr, damit wieder Ruhe einkehrt.

Wir sollten dann aber bitte die Schwere des Bugs im Verhältnis einordnen. Er ist in deinem Fall komplett vernachlässigbar, wenn du anderen Zugriff auf deinen Rechner gewährst.

Zitat von wicki_w

Wie kommst Du ohne die Passphrase zu kennen an die Inhalte von PGP-Mails?

Wenn ich an deinen Rechner komme, geht das ganz einfach. Drei ganz simple Methoden, die jeder Laie durchführen kann, weil man entsprechende Tools findet:

1. Ich kopiere den geheimen Schlüssel und lasse das Passwort daheim mit einem entsprechenden Tool in alle Ruhe knacken. Das kann je nach Schwierigkeit des Passwortes ein wenig dauern. Genug Zeit habe ich dann ja. Fünf-stellige Passwörter werden innerhalb von ca. einer Stunde per Brute-Force gefunden. Per Wörterbuchattacke ggf. noch schneller. Dazu gibt es sogar Videos auf You Tube.
   Sehr gute, sprich lange und zufällige, Passwörter findet man so nicht in akzeptabler Zeit.
2. Ich ziehe mir einen Dump des RAMs und kopiere die Caches, notfalls klone ich die gesamte Platte. Die Chance besteht, darin die Passphrase zu finden. Auch dafür gibt es Tools.
3. Das macht am wenigsten Arbeit und ist die einfachste Methode: Ich installiere dir einen Keylogger, den du selbst bei normaler Suche im Taskmanager nicht bemerkst. Das dauert vielleicht 2 Minuten. Auch so etwas findet man im Internet. Es gibt sogar Tools, die kommen fix und fertig auf nem Stick. Da braucht man nicht einmal das Windows-Passwort. Einstecken, anschalten und schon ist der Keylogger installiert.
   

Die Kurzform ist: Wenn jemand an deinen privaten Schlüssel kommt, war es das.

Zitat von wicki_w

Es gibt da so etwas zwischen sich nahestehenden Personen, dass sich "Vertrauen" nennt.

Es gibt aber auch Personen, die stehlen nicht nur Bargeld und Schmuck, sondern auch Computer. Auch dass ein Notebook oder ein Smartphone verloren geht, soll schon vorgekommen sein. Ich habe mal gelesen, wie viele solcher Geräte jedes Jahr allein bei der Bahn gefunden oder abgegeben werden. Die Zahl weiß ich nicht mehr, aber sie ist überraschend hoch.

// .. somit wäre dann der Thread abgedriftet bzw totdiskutiert... es bleibt der/die/das BUG

Zitat von wicki_w

"Wenig hilfreich"

Hmm, du hattest doch explizit danach gefragt, und ich hatte deine Frage beantwortet:

Zitat von wicki_w

Und das musst Du mir jetzt mal erklären:

Wie kommst Du ohne die Passphrase zu kennen an die Inhalte von PGP-Mails?

In den anderen Punkten irrst du dich sehr. Man benötigt keinen Root-Access, nicht mal ein Konto auf dem Rechner. Das ganze geht wirklich kinderleicht und ist von jedem Rookie zu machen. Ein BIOS/UEFI-Passwort würde etwas mehr Schutz bieten, eine verschlüsselte Platte noch sehr viel mehr. Ich empfehle YouTube und Co. .

In diesem Licht relativiert sich der Bug, so krass er auch ist. So ganz Unrecht hat der Entwickler in seinem Kommentar nicht. Gefixt gehört er trotzdem dringend.

Vielleicht ist das Abdriften dann am Ende doch hilfreich, wenn du erkennst, wie ungeschützt deine verschlüsselten E-Mails derzeit sind.

Oder auch für Mitlesende, außer für die natürlich, die eh nichts zu verbergen haben.

Zitat von wicki_w

Ja, sicher.

Ich vergaß:

Ein BIOS-Passwort schützt vor dem Kopieren des RAMs und vor Keyloggern.

Denk doch mal kurz nach, bevor du mir so ironisch-überheblich antwortest. Ich weiß schon, wovon ich schreibe. Ein BIOS Passwort schützt davor, dass jemand z.B. mit einem Stick ein Linux bootet und auf deinem Rechner macht, was er möchte.

Das geht mit jedem stinknormalen Linux. Und wenn du das immer noch nicht glauben magst, probiere es selbst aus: Erstelle einen bootfähigen Stick mit einem Ubuntu darauf. Stecke den an deinen Rechner und boote das Ubuntu. Und schon hast du mit dem Dateimanager vollen Zugriff, ohne auch nur ein einziges Mal nach einem Passwort gefragt zu werden.

Viel mehr als einen Stick einzustecken, den Computer einzuschalten und auf den Dateimanager zu klicken muss man nicht können. Vielleicht siehst du ja ein, wie kinderleicht das ist, wenn der Zielrechner so ungeschützt ist.

Man findet im Internet aber auch fertige "Distris" und sogar Hardware, die bringen gleich noch viel mehr Tools mit. Mit denen kann jeder Depp deinen Schlüssel stehlen, dein Windows-Adminpasswort auslesen und noch viel mehr. Der muss nicht mal wissen, wie man Linux schreibt.

Zitat von wicki_w

A way for the user to shoot themselves in the foot is not necessarily a security issue.

Unabhängig davon, dass das in jedem Fall gefixt gehört, es freut mich, dass ich nicht allein mit meiner Sicht auf die Schwere des Problems bin, sondern die Entwickler es ähnlich sehen.

Zitat von wicki_w

was nützt es irgendwem, wenn er meinen rechner mit irgendeinem stick bootet???

Ich schreibe dazu nichts mehr. Wenn du es immer noch verstanden hast, dann tut es mir leid. Ich hätte jemanden, der bei E-Mails auf Verschlüsselung setzt, tatsächlich etwas mehr Sachverstand zugetraut.

Zitat von Veteran

Nun, dann besteht ja auch kein Grund mehr, den Bug nicht öffentlich zu machen – 'Security by Obscurity' läßt grüßen …

Der Herr kann das Frotzeln nicht lassen? Dann schau mal weiter oben:

Zitat von Susi to visit

Das ist zweifelsfrei ein Fehler, der dringend behoben gehört. Keine Frage! Als Optimistin gehe ich auch davon aus, dass das geschehen wird. Bis dahin ist es gut, dass der Fehler nun bekannt ist.Ginge es nach mir, sollte das auch ganz offiziell publiziert werden.

Such' dir jemand anderen.

Da muss ich doch wieder antworten, zur Richtigstellung.

Zitat von wicki_w

du behauptest, nur mit dem pgp-key (ohne kenntnis der passphrase) kann man pgp-mails lesen.

Nein, das habe ich nicht. Verdrehe bitte nicht meine Aussagen. Ich habe erwähnt, dass man die Passphrase finden kann, wenn man den Schlüssel hat. Danach kann man die E-Mails lesen. Zum Beweis, nochmals zum Nachlesen:

Zitat von Susi to visit

Ich kopiere den geheimen Schlüssel und lasse das Passwort daheim mit einem entsprechenden Tool in alle Ruhe knacken. Das kann je nach Schwierigkeit des Passwortes ein wenig dauern. Genug Zeit habe ich dann ja. Fünf-stellige Passwörter werden innerhalb von ca. einer Stunde per Brute-Force gefunden. Per Wörterbuchattacke ggf. noch schneller. Dazu gibt es sogar Videos auf You Tube.
Sehr gute, sprich lange und zufällige, Passwörter findet man so nicht in akzeptabler Zeit.

Sorry, aber eben deswegen gelten geheime Schlüssel als verbrannt, sobald sie in die Hände eines anderen gelangt sind. Das gehört zum Kleinen Einmaleins. Das sollte dir sogar @Veteran bestätigen können, falls du mir immer noch nicht glauben magst.

Zitat von wicki_w

du kannst nicht erklären, was es irgendwem nützt, wenn er meinen rechner von einem stick bootet.

Doch das kann ich und habe es oben zumindest in Teilen auch getan. Du verstehst es nur nicht.

Ich wäre sehr dafür, hier zu diesem Thema Schluss zu machen. Ich kann die Dinge, die ich oben schrieb, belegen. Notfalls, indem du mich für ein paar Minuten an deinen Rechner lässt. (Anreise und Spesen zahlst du )

Aber du findest auch ausreichend Videos usw. dazu. Vielleicht schaust du dir die einfach mal an.

Ein guter Startpunkt wäre auch wikipedia: https://de.wikipedia.org/wiki/John_the_Ripper

Oder die offizielle Webseite des Projekts. Daraus:

Zitat

John the Ripper jumbo supports hundreds of hash and cipher types, including

[...]

encrypted private keys (SSH, GnuPG, cryptocurrency wallets, etc.),

[...]

Wenn du dann weiterhin der Meinung bist, jemand, der deinen Schlüssel mal eben von deinem Rechner abzieht, könnte damit nichts anfangen, dann ist dir nicht zu helfen.

@all

Ich erlaube mir diesen Thread zu schließen, da ich kaum noch Fortschritte beim eigentlichen Thema sehe. Falls jemand sehr gute Argumente zur Fortführung des Threads hat, bitte mich per Konversation zwecks einer evtl. Öffnung anschreiben.