TB 2.0.0.12 Dig. Signatur bei Konto mit mehreren Identitäten

Hi Paraglider,

ich nehme mal an, dass Vic~ nichts dagegen hat, wenn ich mich hier reinhänge.

Ein X.509-Zertifikat ist so etwas wie eine "digitale Identität" odere ein "digitaler Ausweis". Das bedeutet, dass bei einem richtigen, gegen Geld erworbenen fortgeschrittenen oder qualifizierten Zertifikat nachgewiesenermaßen der echte Name und die echte Mailadresse im Zertifikat steht. Da gibt es sehr strenge Regeln.
Bei den üblichen "Kostnix-Zertifikaten" ist es zumindest die Mailadresse, welche auch überprüft wurde. (Sonst hätte man dir es nicht erzeugen können.)
Das Mailprogramm verbindet jetzt das Zertifikat anhand der Mailadresse (E= ...) mit dem Mailkonto. Damit dürfte klar sein, dass diese übereinstimmen muss.
Jetzt kann man zwar auch mehrere Mailadressen in ein Zertifikat eintragen, aber damit hat Thunderbird wie die meisten Mailclients ein Problem. In der Praxis wird so etwas auch deshalb kaum gemacht.
Solltest du also ein (fortgeschrittenes oder qualifiziertes) Zertifikat mit mehreren Mailadressen besitzen, dann kannst du zumindest versuchen, dieses in beiden Konten in die Kontoeinstellungen > S/MIME einzutragen.
Ein professionelles Mailprogramm beim Empfänger zeigt in solchen Fällen allerdings immer eine Warnung wegen einer falschen Mailadresse an. Sieht nicht gut aus ... .
Hast du nur ein Kostnix-Zertifikat, dann kannst du doch einfach ein weiteres beantragen.

Alles klar?
Meine Anleitung in den FAQ hast du gelesen?

MfG Peter

Im Thunderbird ist es nur möglich, der Hauptidentität ein Zertifikat zum Signieren zuzuordnen. (Jedenfalls habe ich unter "weitere Identitäten" keinen derartigen Dialog gefunden ... .)

Alle anderen Fragen habe ich doch beantwortet. Ohne dein Zertifikat zu sehen, kann ich auch nicht feststellen, welche Einträge zum Beispiel als "kritisch" eingestuft sind. Kritisch bedeutet in diesem Fall "das ist zwingend vorgegeben".

Und - wie ich auch schon in meinem vorherigen Beitrag sinngemäß geschrieben habe - auch wenn du es schaffst, einem Konto ein Zertifikat mit einer anderen Adresse unterzujubeln, so wird es doch in jedem mir bekannten Mailclienten mit S/MIME-Unterstützung zu einer Warnmeldung kommen. Vom grauen Briefumschlag mit Fragezeichen beim Thunderbird bis zur großen aufpoppenden Warnung bei kommerziellen Programmen. Und die Warnung lautet immer sinngemäß, dass die Nachricht gültig signiert (also unverändert seit dem Signieren) ist, aber die Absenderadresse nicht mit der im Zertifikat eingetragenen übereinstimmt. Also: unprofessionell.

MfG Peter

Nun, wenn es sogar der "Chef der GnuPG-Fraktion" so bestätigt

Wie ich schon schrieb, bei einem professionellen Mailprogramm (zum Bsp. dem LoNo-Plugin cv-act von Cryptovi****) wird jede einzelne Eintragung im Zertifikat und nicht nur der - zugegebenermaßen sehr wichtige - cn ausgewertet. Und wenn zum Bsp. die Mailadresse nicht stimmt, kommt eine entsprechende Warnmeldung. Selbstverständlich kann dann Brain_01 einsetzen und in Verbindung mit dem angezeigten cn die Signatur für gültig erklären. Aber eine derartige Warnmeldung sieht eben unprofessionell aus.

Und so ganz nebenbei: Ich habe beruflich so ziemlich alle verfügbaren MUA auf Kompatibilität der S/MIME Funktionen getestet. Und mit Zertifikaten mit mehreren e= - Einträgen hat es immer Probleme gegeben.
Bemerkung: Siehe oben ... .

Und noch einer: Bei einer (qualifizierten) Dokumentensignatur ist natürlich der cn das Maß aller Dinge.

MfG Peter