Sicherheit meines Passwortes durch Thunderbird gefährdet?

Hallo auroraxf,
und willkommen im Forum!

Gut, dass du dir solche Gedanken machst!

Zitat von auroraxf

wie Thunderbird mein Passwort speichert wenn ich Passwort speichern angewählt habe. Dieses wird ja sicherlich in einer Datei abgelegt, doch wie ist diese Datei gesichert?
Welche Verschlüsselung wird genutzt?

Der Thunderbird speichert die Passwörter für deine Mailkonten und auch für andere Verbindungen wie zum Bsp. Cal- und CardDAV-Server usw. in einer sqlite-Datenbank mit Namen "signon.sqlite".
Diese Datenbank wird, sofern du ein Masterpasswort setzt (!!), verschlüsselt und der Schlüssel wird aus dem Masterpasswort abgeleitet.
Als ich mich vor ein paar Jahren zum letzten mal durch die englischen Originaldokumente gequält habe, wurde dabei als symm. Algorithmus 3DES eingesetzt. Das ist zwar schon eine Weile her, aber weniger als 3DES wird wohl auch heute nicht genutzt.
BTW: 3DES ist zwar schon sehr alt, wurde aber kryptologisch noch nicht gebrochen. Auch wenn es heute allgemein üblich ist, AES zu nutzen. Und vielleicht ist es auch noch gut zu wissen, dass der TB in den USA nach FIPS zertifiziert ist, was ja immerhin in etwa unserer "BSI-Zertifizierung" entspricht.

Ich empfehle jedem, auch das Masterpasswort zu setzen! Auch wenn er der einzige Nutzer auf dem Rechner ist. Genau so, wie ich aus puren Sicherheitsgründen jedem empfehle, den Administrator-Account nur zum Administrieren, und zum "Arbeiten" einen eingeschränkten Benutzeraccount zu nutzen. Selbstverständlich beide bzw. alle mit einem guten (Admin mit einem sehr guten!) Passwort geschützt.
(BTW: Ich weiß aber auch, dass ONU zumeist zu bequem dazu ist. Aber jeder ist für seine Daten selbst verantwortlich!)

Zitat von auroraxf

Wird dann für die Aufrechterhaltung der Verbindung zum Gmail Server ein Cookie gesetzt?

Ich habe im Thunderbird noch keine Cookies gesehen.
Der Server fragt den Client nach den Auth-Daten. Der Client liest diese aus der signons.sqlite aus und liefert sie an den Server. Ist dort kein PW gespeichert, fragt der Thunderbird den Nutzer danach. Nach der ersten erfolgreichen Auth. werden die Auth.-Daten in der Laufzeit des Programms im Speicher gehalten.

Und jetzt habe ich eine Frage an den Experten:
Was ist wohl sicherer:

• die mit einem gerade noch gut merkbaren Master-PW gesicherte Speicherung der vielen je Konto unterschiedlichen, sehr langen und komplexen, also niemals merkbaren, und auch ab und an gewechselten Konto-Passwörter im Passwort-Manager des Thunderbird, oder
• immer wieder beim Start des TB händisch ein Konto-PW einzuhacken, welches garantiert nicht den Merkmalen entspricht, die ich oben genannt habe?

Ach ja, ich wünsche dir viel Freude mit deinem vertrauensvollen Provider, der mit den von dir übergebenen Daten immer sehr sorgfältig und im Interesse des Datenschutzes umgeht. Habe ich richtig gelesen? Dieser Provider arbeitet daran, eingehende Mails vollautomatisch und sinnvoll beantworten zu können ... .

MfG Peter
(der sich wieder viel zu viel Zeit gelassen hat ... Aber jetzt lasse ich es stehen.)

Zitat von auroraxf

Wird es dann für die aktuelle Sitzung auch in der "signon.sqlite" abgelegt und nach dem beenden von Thunderbird wieder gelöscht?

Dann wird das PW nur für die Zeit der Sitzung im RAM gehalten.

Zitat von auroraxf

Wenn dem so ist, ist die Datei in dem Moment ja nicht verschlüsselt, da kein Master Passwort?

Eine signons.sqlite ist ohne gesetztes Master-PW unverschlüsselt.

Zitat von auroraxf

Ich finde in meinem Profil Ordner auch keine "signon.sqlite". Wird das Passwort also woanders abgelegt bei der Version 38.3.0?

Es kann sein, dass diese Datenbank erst bei ihrer ersten Benutzung (Speicherung eines PW) angelegt wird.
Da ich es mir nie angetan habe - und das für dich auch nicht testen will - weiß ich es nicht genauer.

Zitat von auroraxf

Ich nutze zur Verwaltung aller meiner Passwörter KeePass und änder diese jeden Monat, sowie auch das Master Passwort der Datenbank.
Bei dem Programm weiß ich wie die Datei verschlüsselt wird etc.

Mit KeePass hast du eine gute Wahl getroffen.
Nun nenne mir doch bitte den signifikannten Unterschied zwischen dem Passwort-Manager KeePass und dem Passwort-Manager des Thunderbird.

Und wenn es dir gelingen sollte, KeePass dazu zu bringen, die Passwörter deiner Mailkonten zu speichern (das ist kein Problem!) und sie auch auf die Anfrage des Mailservers an diesen zu liefern, dann lasse es mich wissen.

Zitat von auroraxf

Nur leider weiß ich dies momentan noch nicht, da nicht einmal klar ist um welche Verschlüsselung es sich handelt.

Auch wenn du diese Frage noch 5x stellst, wirst du keine andere Antwort bekommen als die, die du schon bekommen hast.

Zitat von auroraxf

Ich bin da vielleicht zu paranoid, ... =)

Ich wage es sehr zu bezweifeln, dass du mich darin übertreffen kannst.

MfG Peter

Also darauf muss ich doch wirklich noch einmal antworten - auch wenn ich mir sicher bin, dass das bei dir wohl nicht fruchten wird.

Zitat von auroraxf

Wenn nicht einmal bekannt ist wie verschlüsselt wird

Wenn in einem offiziellen Dokument von Mozilla dieses beschrieben wird, dann ist das auch so.
Verlangst du etwa, dass dieses jedes Jahr oder jeden Monat wiederholt wird?
Ganz nebenbei: Fachkundige können den zur Verschlüsselung genutzten Algorithmus auch am Chiffrat erkennen.

Zitat von auroraxf

und wenn es stimmen sollte das bei nicht setzen des Häkchen "Passwort speichern" das Passwort scheinbar im Klartext im Ram gehalten wird

Ja, wie hätte es denn der Fachmann gerne?
Bitte konkrete Vorschläge! (Siehe auch weiter unten!)

Zitat von auroraxf

ist das Programm, für meine jetzigen Ansichten, leider zu unsicher als das ich diesem mein Passwort anvertraue.

Aber einem "vertrauenswürdigen" Provider dein PW anzuvertrauen, das entspricht deinen jetzigen Ansichten?

Du solltest Briefe schreiben. (Ach ja, die kann ja der Staat auch life mitlesen. Und "Dank" des Gesetzes über die Bestandsdatenauskunft kann unser Staat auch jederzeit die Passwörter, PIN/PUK, bei Providern gespeicherte Schlüssel und andere "Geheimnisse" abfordern. Dazu reicht ja schon der Verdacht, dass du eine Ordungswidrigkeit begangen hast. Und von der Überwachungsmöglichkeit der Telefonie will ich erst gar nicht reden.)
Also am Besten die Informationen deinen Gesprächspartnern bei laufender Toilettenspülung leise ins Ohr flüstern.

Wenn du wirklich deine Privatsphäre und die deiner Mailpartner schützen willst, dann musst du deine gesamte Kommunikation "End 2 End" verschlüsseln.

Letzter Satz in meiner hier letzten Antwort - für den ich mich schon im Voraus entschuldige:
Unwissenheit ist keine Schande, Paranoia gepaart mit Dummheit ist aber ein sehr schlechtes Gespann und Beratungsresistenz ist der kleine Bruder der Dummheit!

P.