]TB/BB] Probleme mit verschluesselten Mails

[Thomas Barghahn]

Hallo zusammen,

heute musste ich wiederholt feststellen, dass verschlüsselte Mails,
welche mit SeaMonkey 2.53.18.2 (benutzt Enigmail) verschlüsselt und
signiert wurden, von TB als auch von BB nicht entschlüsselt werden
konnten. Selbst eine gültige Signatur wird *nicht* (mehr) erkannt.

Enigmail ist auf dem neusten Stand mit GPG4Win4.3.1 und gpg2.4.5

Zur Gegenprobe werden hier die MUAs Outlook und Claws-Mail verwendet,
welche keinerlei Probleme mit diesen Mails von SM + Enigmail haben. Es
wird also die korrekte Signatur und die verschlüsselte Nachricht im
Detail wiedergegeben.
Dieses Problem mit TB/BB ist jederzeit mit Gegenprobe auf anderen MUAs
nachvollziehbar.

Auskunft von TB/BB:
<Loading Image...>

Kennt hier jemand dieses Problem? Nachfrage bei Kollegen, welche
ebenfalls diese Mails erhalten haben ergab, dass ihr TB diese
Nachrichten ebenfalls nicht verifizieren oder gar entschlüsseln kann.

Vielen Dank!

Thomas

[Frank Miller]

Post by Thomas Barghahn
Hallo zusammen,
heute musste ich wiederholt feststellen, dass verschlüsselte Mails,
welche mit SeaMonkey 2.53.18.2 (benutzt Enigmail) verschlüsselt und
signiert wurden, von TB als auch von BB nicht entschlüsselt werden
konnten. Selbst eine gültige Signatur wird *nicht* (mehr) erkannt.
Enigmail ist auf dem neusten Stand mit GPG4Win4.3.1 und gpg2.4.5

[..snip..]

Post by Thomas Barghahn
<https://www.barghahn-online.de/Pictures/tb_bb_mails_von_sm_enigmail.png>

Und was sagt das OpenPGP-Debug-Protokoll, welches dir da im Screenshot
rechts unten als Button angeboten wird?

[Thomas Barghahn]

Post by Frank Miller

[Entschlüsseln nicht möglich]
Enigmail ist auf dem neusten Stand mit GPG4Win4.3.1 und gpg2.4.5

[..snip..]

<https://www.barghahn-online.de/Pictures/tb_bb_mails_von_sm_enigmail.png>

Und was sagt das OpenPGP-Debug-Protokoll, welches dir da im Screenshot
rechts unten als Button angeboten wird?

Sorry, dieses Protokoll sollte eigentlich schon dabei sein. Hier also
nun das ungekürzte Protokoll:

| OpenPGP-Debug-Protokoll
|
| :armored input
| :off 0: packet header 0x85010c (tag 1, len 268)
| Public-key encrypted session key packet
| version: 3
| key id: 0x6[...]
| public key algorithm: 1 (RSA (Encrypt or Sign))
| encrypted material:
| rsa m: 2046 bits
| :off 271: packet header 0x85010c (tag 1, len 268)
| Public-key encrypted session key packet
| version: 3
| key id: 0xc[...]
| public key algorithm: 1 (RSA (Encrypt or Sign))
| encrypted material:
| rsa m: 2048 bits
| :off 542: packet header 0xd2e9 (tag 18, partial len)
| Symmetrically-encrypted integrity protected data packet

Thomas

[Frank Miller]

Post by Thomas Barghahn

Post by Frank Miller

[Entschlüsseln nicht möglich]
Enigmail ist auf dem neusten Stand mit GPG4Win4.3.1 und gpg2.4.5

[..snip..]

<https://www.barghahn-online.de/Pictures/tb_bb_mails_von_sm_enigmail.png>

Und was sagt das OpenPGP-Debug-Protokoll, welches dir da im Screenshot
rechts unten als Button angeboten wird?

Sorry, dieses Protokoll sollte eigentlich schon dabei sein. Hier also
| OpenPGP-Debug-Protokoll
|
| :armored input
| :off 0: packet header 0x85010c (tag 1, len 268)
| Public-key encrypted session key packet
| version: 3
| key id: 0x6[...]
| public key algorithm: 1 (RSA (Encrypt or Sign))
| rsa m: 2046 bits
| :off 271: packet header 0x85010c (tag 1, len 268)
| Public-key encrypted session key packet
| version: 3
| key id: 0xc[...]
| public key algorithm: 1 (RSA (Encrypt or Sign))
| rsa m: 2048 bits
| :off 542: packet header 0xd2e9 (tag 18, partial len)
| Symmetrically-encrypted integrity protected data packet

Also ich hab jetzt mit Crypto kaum was zu tun. Aber was mir auffällt sind
die Werte von "rsa m:". Zuerst 2046 bits und als nächstes 2048 bits.
2046 bits ist IMO eine sehr ungewöhnliche Größe in der IT.
Aber wie gesagt, frag besser Crypto-Experten, was da schief läuft.

[Thomas Barghahn]

Post by Frank Miller

Post by Thomas Barghahn
| OpenPGP-Debug-Protokoll
| [...]

Also ich hab jetzt mit Crypto kaum was zu tun. Aber was mir auffällt sind
die Werte von "rsa m:". Zuerst 2046 bits und als nächstes 2048 bits.
2046 bits ist IMO eine sehr ungewöhnliche Größe in der IT.
Aber wie gesagt, frag besser Crypto-Experten, was da schief läuft.

Persönlich bin ich hier auch überfordert, zumal die MUAs Outlook,
Claws‑Mail und TheBat! mit der Verifizierung und dem Entschlüsseln
keinerlei Probleme haben.
Selbst wenn ich das Chiffrat über den Umweg "Kleopatra" oder "GPA"
dekodieren lasse, so bekomme ich immer ein sauberes Ergebnis.

Ja, hier benötige ich tatsächlich jemanden, der sich mit TB/BB aber mal
so richtig auskennt. ;-) Allerdings gehe ich nun schon von einem
ernstzunehmenden Bug aus.

Thomas

[Jörg Knobloch]

heute musste ich wiederholt feststellen, dass verschlüsselte Mails, welche mit
SeaMonkey 2.53.18.2 (benutzt Enigmail) verschlüsselt und signiert wurden, von TB
als auch von BB nicht entschlüsselt werden konnten. Selbst eine gültige Signatur
wird *nicht* (mehr) erkannt.

Leider ist es so, dass die Verschlüsselungstechnologie sich ständig ändert, alte
E-Mails dann nicht mehr entschlüsselt werden können. Auf der sicheren Seite ist
man, wenn man verschlüsselte Nachrichten nach dem Erhalt entschlüsselt. Klingt
verrückt, ist aber so.

Ein Grund könnte sein, dass alte Nachrichten ohne MDC grundsätzlich nicht mehr
entschlüsselt werden:
https://bugzilla.mozilla.org/show_bug.cgi?id=1731608

TB/BB benutzen intern RNP und Botan, hat mit GnuPG nichts mehr zu tun. Und
Enigmail gibt es seit TB 78(?) sowieso nicht mehr.

Beantwortet das die Frage?

Es gibt übrigens gerade einen Crypto-Krieg zwischen GnuPG und dem Rest der Welt:
https://www.google.com.au/search?q=openpgp+schism
Es ist also zu erwarten, dass das Zeug in Zukunft untereinander inkompatibel wird
und mit der Vergangenheit sowieso.

[Thomas Barghahn]

Post by Jörg Knobloch

[Mails von SeaMonkey werden nicht verifiziert und entschlüsselt]

Leider ist es so, dass die Verschlüsselungstechnologie sich ständig
ändert, alte E-Mails dann nicht mehr entschlüsselt werden können. Auf
der sicheren Seite ist man, wenn man verschlüsselte Nachrichten nach dem
Erhalt entschlüsselt. Klingt verrückt, ist aber so.

Ja, das wird hier grundsätzlich auch so gehandhabt. Konkret geht es
jedoch um aktuelle Mails, welche in den letzten Wochen hier
"eingetrudelt" sind. Genau diese aktuellen Mails (nur von SM + Enigmail)
werden nicht (mehr) verifiziert und schon gar nicht entschlüsselt.
Letzteres gilt nur * *nur für TB/BB* *!

Post by Jörg Knobloch
Ein Grund könnte sein, dass alte Nachrichten ohne MDC grundsätzlich
https://bugzilla.mozilla.org/show_bug.cgi?id=1731608

Auch dieses gilt * *nur für TB/BB* *!

Post by Jörg Knobloch
TB/BB benutzen intern RNP und Botan, hat mit GnuPG nichts mehr zu tun.
Und Enigmail gibt es seit TB 78(?) sowieso nicht mehr.

Enigmail ist auf aktuellem Stand und arbeitet nicht nur im MUA/NUA
SeaMonkey, welchen man ja auch schon "totgesagt" hat.

Post by Jörg Knobloch
Beantwortet das die Frage?

Zumindest muss ich mit deiner Antwort zunächst einmal leben. Zudem gibt
es Alternativen, *welche korrekt mit OpenPGP umgehen können*.
Auch das BSI unterstützt und rät weiterhin zu GPG4Win mit aktuellem
gpg2.4.5.

Post by Jörg Knobloch
Es gibt übrigens gerade einen Crypto-Krieg zwischen GnuPG und dem Rest
der Welt: [...]

War das nicht auch schon vor 20 Jahren ein Thema(?). Aber gut, denn du
persönlich kannst für dieses "Missgeschick" von TB/BB nichts. :-)

Die Zukunft wird uns zeigen, wie es bezüglich Verifizierung,
Verschlüsselung und Privatsphäre weitergeht. Auch die Politik wird mMn.
dabei eine entscheidende Rolle spielen (wollen).

Thomas

[Jörg Knobloch]

Konkret geht es jedoch um aktuelle Mails, welche in den letzten Wochen hier
"eingetrudelt" sind. Genau diese aktuellen Mails (nur von SM + Enigmail) werden
nicht (mehr) verifiziert und schon gar nicht entschlüsselt. Letzteres gilt nur *
*nur für TB/BB* *!

Also, die sog. "aktuellen" Mails, die mit Uralt-Software erzeugt wurden, würde ich
als Altlast bezeichnen und nicht erwarten, dass die moderne Software noch
entschlüsselt. Wende Dich doch mal an den Autor von Enigmail, Patrick Brunschwig.
Der hilft sicher gerne, da er sein Enigmail, dort noch pflegt, wo es eingesetzt
wird. Oder lege einen Bug in Bugzilla an.

[Thomas Barghahn]

Post by Jörg Knobloch

... Genau diese aktuellen Mails
(nur von SM + Enigmail) werden nicht (mehr) verifiziert und schon gar
nicht entschlüsselt. Letzteres gilt nur * *nur für TB/BB* *!

Also, die sog. "aktuellen" Mails, die mit Uralt-Software erzeugt wurden,
würde ich als Altlast bezeichnen und nicht erwarten, dass die moderne
Software noch entschlüsselt. Wende Dich doch mal an den Autor von
Enigmail, Patrick Brunschwig. [...] ...

Nun, dort wird man mir wahrscheinlich sagen:
"Alle modernen MUAs, wie bspw. Outlook365, TheBat!, Epyrus und
Claws‑Mail, haben mit dem Verifizieren und mit dem Entschlüsseln von
Mails, welche mit SM + Enigmail (*OpenPGP*) erstellt wurden, keinerlei
Probleme. Nur TB & BB können es nicht. Wo ist nun also das Problem zu
suchen?"

Wie sollte ich nun auf diese Frage antworten? ;-)

Post by Jörg Knobloch
... Oder lege einen Bug in Bugzilla an.

Ob man dort den Namen "Enigmail" überhaupt noch hören bzw.lesen mag, das
wage ich zu bezweifeln. ;-)

Thomas

[Jörg Knobloch]

Wende Dich doch mal an den Autor von Enigmail, Patrick Brunschwig. Der hilft
sicher gerne, da er sein Enigmail, dort noch pflegt, wo es eingesetzt wird.

Genau das habe ich getan, seine Antwort war:

MDC ist sicher nicht die Ursache. Ich vermute eher, dass der Absender eine
top-aktuelle Version von Gpg einsetzt, welche TB nicht versteht.

Da sind wir also wieder bei

https://www.google.com.au/search?q=openpgp+schism
Es ist also zu erwarten, dass das Zeug in Zukunft untereinander inkompatibel wird und mit der Vergangenheit sowieso.

Wenn das so ist, könnte man schon einen Bug anlegen mit dem Tenor:
Encrypted mail originating from latest GnuPG can't be handled by TB. Outlook,
Claws‑Mail and TheBat! can handle it.

[Jörg Knobloch]

Post by Jörg Knobloch
Encrypted mail originating from latest GnuPG can't be handled by TB. Outlook,
Claws‑Mail and TheBat! can handle it.

Schau mal
https://bugzilla.mozilla.org/show_bug.cgi?id=1872833
https://bugzilla.mozilla.org/show_bug.cgi?id=1896918

Man kennt das Problem also schon:

I think Thunderbird should not produce such messages. However, GnuPG has already
released production versions that produce such messages. Worse, Thunderbird might
have already distributed public keys that signal support for being able to decrypt
this algorithm (because users had used GnuPG to create or edit their keys, and
then imported them into Thunderbird, but Thunderbird didn't remove the feature
advertisement flags).

As a result, no longer decrypting such messages in the next Thunderbird release
would mean a functional regression.

[Thomas Barghahn]

Post by Jörg Knobloch

Post by Jörg Knobloch
Encrypted mail originating from latest GnuPG can't be handled by TB.
Outlook, Claws‑Mail and TheBat! can handle it.

Schau mal
https://bugzilla.mozilla.org/show_bug.cgi?id=1872833
https://bugzilla.mozilla.org/show_bug.cgi?id=1896918

Da liest sich /dein Satz/ aus:
M-ID: <mid:fffba185-c942-4dd2-ae45-***@news.betterbird.eu> bzw.
M-ID: <fffba185-c942-4dd2-ae45-***@news.betterbird.eu> bzw.
M-ID: <news:fffba185-c942-4dd2-ae45-***@news.betterbird.eu> ...

| Also, die sog. "aktuellen" Mails, die mit Uralt-Software erzeugt
| wurden,würde ich als Altlast bezeichnen und nicht erwarten, dass die
| moderne Software noch entschlüsselt.

... schon wie ein "Eigen-Tor" mit Anlauf! ;-)

Thomas

[Jörg Knobloch]

Post by Thomas Barghahn
| Also, die sog. "aktuellen" Mails, die mit Uralt-Software erzeugt
| wurden,würde ich als Altlast bezeichnen und nicht erwarten, dass die
| moderne Software noch entschlüsselt.
... schon wie ein "Eigen-Tor" mit Anlauf!

Ja und? Ich hatte Unrecht und habe mich korrigiert. Nicht Altlasten sind das
Problem, sondern eine neue Inkompatibilität mit GnuPG.

Altes DDR-Sprichwort: Wer nichts macht, macht keine Fehler, und wer keine Fehler
macht, wird befördert.

[Ingo Steinbuechel]

Post by Jörg Knobloch
Altes DDR-Sprichwort: Wer nichts macht, macht keine Fehler, und wer keine Fehler
macht, wird befördert.

nur Herr Barghahn ist fehlerlos und perfekt.

Gruß Ingo

[Thomas Barghahn]

Post by Ingo Steinbuechel

Post by Jörg Knobloch
Altes DDR-Sprichwort: Wer nichts macht, macht keine Fehler, und wer keine Fehler
macht, wird befördert.

nur Herr Barghahn ist fehlerlos und perfekt.

So ein Unsinn. Ich mache tagtäglich Fehler immer und immer wieder. Das
Dumme daran ist, dass ich diese Fehler oftmals viel zu spät mitbekomme.

Thomas

[Thomas Barghahn]

Post by Jörg Knobloch

Wende Dich doch mal an den Autor von Enigmail, Patrick Brunschwig. Der
hilft sicher gerne, da er sein Enigmail, dort noch pflegt, wo es
eingesetzt wird.

MDC ist sicher nicht die Ursache. Ich vermute eher, dass der Absender
eine top-aktuelle Version von Gpg einsetzt, welche TB nicht versteht.

Na da schau her! Verzeih mir bitte, dass ich mir gerade das Lachen
verkneifen muss, denn seine Antwort klingt wie eine schallende Ohrfeige. ;-)

Post by Jörg Knobloch
Da sind wir also wieder bei

Soviel zu deinem weiter oben geschriebenen Satz: "... Mails, die mit
Uralt-Software erzeugt wurden ..."

Aber gut, ich empfehle in diesem Zusammenhang GPG4Win 4.3.1 zu
installieren. Dieses Paket enthält die "top-aktuelle" und offizielle
Version 2.4.5 der "gpg.exe". Auch für Linux wird gpg in der Version
2.4.5 schon angeboten.

Erzeuge dir mit Kleopatra einen Testschlüssel, welchen du dann in TB/BB
/extern/ einbindest:
<Loading Image...>

Schreibe dir nun selbst eine verschlüsselte Mail. Zum Entschlüsseln
dieser Mail benötigst du dann aber einen "top-aktuellen" MUA, der mit
OpenPGP in der "top-aktuellen" Version auch umgehen kann.
Ich empfehle in dem Zusammenhang die kostenlosen und aktuellen MUA/NUA
"SeaMonkey/2.53.18.2" und "Claws-Mail/4.2.0".

Post by Jörg Knobloch
Encrypted mail originating from latest GnuPG can't be handled by TB.
Outlook, Claws‑Mail and TheBat! can handle it.

Mache dir bitte zunächst selbst ein Bild über die aktuelle Situation
bezüglich aktueller Version OpenPGP und TB/BB.

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn
Aber gut, ich empfehle in diesem Zusammenhang GPG4Win 4.3.1 zu
installieren. Dieses Paket enthält die "top-aktuelle" und offizielle
Version 2.4.5 der "gpg.exe". Auch für Linux wird gpg in der Version
2.4.5 schon angeboten.
Erzeuge dir mit Kleopatra einen Testschlüssel, welchen du dann in TB/
<https://www.barghahn-online.de/Pictures/tb_bb_openpgp_extern.png>
Schreibe dir nun selbst eine verschlüsselte Mail.

Mit TB geschickt?

Selbst wenn man in TB, wie von Dir gezeigt, einen von GnuPG verwalteten
privaten Schlüssel extern in TB einbindet, dann wird dieser private
Schlüssel nur für Operationen genutzt, die einen privaten Schlüssel
benötigen. Diese Operationen sind:
- signieren
- entschlüsseln

Das Verschlüsseln wird von Thunderbird immer mit dem internen RNP
ausgeführt, also auch in der von Dir gezeigeten Konfiguration.

Wenn Du also mit TB eine Nachricht an Dich selbst schickst, dann wird
TB/TNP interner Code zum verschlüsseln verwendet. Wenn die Nachricht
dann in TB wieder ankommt, und entschlüsselt werden soll, wird TB
zunächst versuchen, mit seinem internen verfügbaren Schlüsselmaterial zu
entschlüsseln. Vermutlich schlägt das in Deinem Fall fehl, da Du den
privaten Schlüssel nur in GnuPG hast. Aber da Du die externe GnuPG
Konfiguration hast, wird TB nun einen zweiten Versuch machen zu
entschlüsseln, bei dem TB die GnuPG bittet zu entschlüsseln. Da GnuPG
den passenden privaten Schlüssel hat, sollte das entschlüsseln
funktionieren, und TB sollte die entschlüsselte Nachricht anzeigen.

Post by Thomas Barghahn
Zum Entschlüsseln
dieser Mail benötigst du dann aber einen "top-aktuellen" MUA, der mit
OpenPGP in der "top-aktuellen" Version auch umgehen kann.

Wenn die Nachricht mit TB erzeugt wurde, dann sollte eigenlich eine top
aktuelle Version hierzu nicht nötig sein.

Die Verschlüsselung, die mit aktuellen Versionen von TB erzeugt wird,
sollte das gleiche Standard-Format verwenden, der in den letzten 5+
Jahren üblich war.

Es wäre hilfreich einen Dump zu erzeugen, welches Paketformat denn
konrekt von einer Nachricht erzeugt wurde.

Das kann man übrigens ganz gut mit diesem Kommando machen, über die
Kommandozeile. Wenn die Nachricht mit TB als Datei abgespeichert wurde
(Datei mit Endung .eml), dann könntet ihr die Nachricht in einem
Text-Editor editieren und alles vor -----BEGIN PGP MESSAGE-----
entfernen, und auch alles nach -----END PGP MESSAGE-----
entfernen. Dann speicher, und dann:

gpg --list-packets filename.eml

Das Ergebnis ist die Paketstruktur der Nachricht, mit Hilfe von dieser
Ausgabe kann man dann herausfinden, welche Struktur die Nachricht
tatsächlich hat.

Interessant ist hierzu auch die Struktur innerhalb des verschlüsselten
Bereichs, den man hierbei als Ausgabe nur dann erhält, wenn GnuPG den
passenden privaten Schlüssel hat.

Über diese Ausgabe könnte es möglich sein herauszufinden, warum die
ursprüngliche Nachricht nicht gelesen werden könnten.

Grüße

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Aber gut, ich empfehle in diesem Zusammenhang GPG4Win 4.3.1 zu
installieren. Dieses Paket enthält die "top-aktuelle" und offizielle
Version 2.4.5 der "gpg.exe". Auch für Linux wird gpg in der Version
2.4.5 schon angeboten.
Erzeuge dir mit Kleopatra einen Testschlüssel, welchen du dann in TB/
<https://www.barghahn-online.de/Pictures/tb_bb_openpgp_extern.png>
Schreibe dir nun selbst eine verschlüsselte Mail.

Mit TB geschickt?

Zunächst sollten wir unterscheiden, dass das erste Beispiel bezüglich
des Empfangs Schwierigkeiten macht. Die Test-Mail könntest du schon
erhalten haben.

Hier geht es nun um das Versenden von Mails (verschlüsselt *und*
signiert) aus TB/BB heraus mit extern gelagerten privaten Schlüsseln.

In diesem Fall ist es nur möglich eine Mail *nur* zu signieren /oder/
*nur* zu verschlüsseln. Die bei einer Verschlüsselung durchaus wichtige
Signatur führt zu Fehlern bzw. zu kaputten Mails, welche auch von
anderen Mailern *nicht* verifiziert und auch *nicht* entschlüsselt
werden können. TB/BB geben hierzu keinerlei Warnhinweise vor dem
Versenden aus und verschicken die kaputten Nails (mal eben so). ;-)

Die externe Lagerung von privaten Schlüsseln macht also nur noch dann
Sinn, wenn *nur* signiert werden soll. Mit Enigmail gab es zu der
damaligen Zeit nie Schwierigkeiten. Allein durch diese Problematik ist
heute eine doppelte Schlüsselverwaltung nötig, wenn gpg auch für andere
Dinge (siehe bspw. Dateiverschlüsselung bei Arbeitsprozessen) eingesetzt
werden soll bzw. muss.

Thomas

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Aber gut, ich empfehle in diesem Zusammenhang GPG4Win 4.3.1 zu
installieren. Dieses Paket enthält die "top-aktuelle" und offizielle
Version 2.4.5 der "gpg.exe". Auch für Linux wird gpg in der Version
2.4.5 schon angeboten.
Erzeuge dir mit Kleopatra einen Testschlüssel, welchen du dann in TB/
<https://www.barghahn-online.de/Pictures/tb_bb_openpgp_extern.png>
Schreibe dir nun selbst eine verschlüsselte Mail.

Mit TB geschickt?

Zunächst sollten wir unterscheiden, dass das erste Beispiel bezüglich
des Empfangs Schwierigkeiten macht. Die Test-Mail könntest du schon
erhalten haben.

Hier geht es nun um das Versenden von Mails (verschlüsselt *und*
signiert) aus TB/BB heraus mit extern gelagerten privaten Schlüsseln.

In diesem Fall ist es nur möglich eine Mail *nur* zu signieren /oder/
*nur* zu verschlüsseln. Die bei einer Verschlüsselung durchaus wichtige
Signatur führt zu Fehlern bzw. zu kaputten Mails, welche auch von
anderen Mailern *nicht* verifiziert und auch *nicht* entschlüsselt
werden können. TB/BB geben hierzu keinerlei Warnhinweise vor dem
Versenden aus und verschicken die kaputten Nails (mal eben so). ;-)

Die externe Lagerung von privaten Schlüsseln macht also nur noch dann
Sinn, wenn *nur* signiert werden soll. Mit Enigmail gab es zu der
damaligen Zeit nie Schwierigkeiten. Allein durch diese Problematik ist
heute eine doppelte Schlüsselverwaltung nötig, wenn gpg auch für andere
Dinge (siehe bspw. Dateiverschlüsselung bei Arbeitsprozessen) eingesetzt
werden soll bzw. muss.

Thomas

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Aber gut, ich empfehle in diesem Zusammenhang GPG4Win 4.3.1 zu
installieren. Dieses Paket enthält die "top-aktuelle" und offizielle
Version 2.4.5 der "gpg.exe". Auch für Linux wird gpg in der Version
2.4.5 schon angeboten.
Erzeuge dir mit Kleopatra einen Testschlüssel, welchen du dann in TB/
<https://www.barghahn-online.de/Pictures/tb_bb_openpgp_extern.png>
Schreibe dir nun selbst eine verschlüsselte Mail.

Mit TB geschickt?

Zunächst sollten wir unterscheiden, dass das erste Beispiel bezüglich
des Empfangs Schwierigkeiten macht. Die Test-Mail könntest du schon
erhalten haben.

Hier geht es nun um das Versenden von Mails (verschlüsselt *und*
signiert) aus TB/BB heraus mit extern gelagerten privaten Schlüsseln.

In diesem Fall ist es nur möglich eine Mail *nur* zu signieren /oder/
*nur* zu verschlüsseln. Die bei einer Verschlüsselung durchaus wichtige
Signatur führt zu Fehlern bzw. zu kaputten Mails, welche auch von
anderen Mailern *nicht* verifiziert und auch *nicht* entschlüsselt
werden können. TB/BB geben hierzu keinerlei Warnhinweise vor dem
Versenden aus und verschicken die kaputten Nails (mal eben so). 😉

Die externe Lagerung von privaten Schlüsseln macht also nur noch dann
Sinn, wenn *nur* signiert werden soll. Mit Enigmail gab es zu der
damaligen Zeit nie Schwierigkeiten. Allein durch diese Problematik ist
heute eine doppelte Schlüsselverwaltung nötig, wenn gpg auch für andere
Dinge (siehe bspw. Dateiverschlüsselung bei Arbeitsprozessen) eingesetzt
werden soll bzw. muss.

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn
Zunächst sollten wir unterscheiden, dass das erste Beispiel bezüglich
des Empfangs Schwierigkeiten macht. Die Test-Mail könntest du schon
erhalten haben.

Ok, es gibt also zwei Probleme, sagst Du.

Die Test-Mail habe ich erhalten, das Problem verstanden und erklärt,
siehe dazu meine andere Nachricht von vor wenigen Minuten.

Post by Thomas Barghahn
Hier geht es nun um das Versenden von Mails (verschlüsselt *und*
signiert) aus TB/BB heraus mit extern gelagerten privaten Schlüsseln.
In diesem Fall ist es nur möglich eine Mail *nur* zu signieren /oder/
*nur* zu verschlüsseln. Die bei einer Verschlüsselung durchaus wichtige
Signatur führt zu Fehlern bzw. zu kaputten Mails, welche auch von
anderen Mailern *nicht* verifiziert und auch *nicht* entschlüsselt
werden können.

Kann Thunderbird solche (mit Thunderbird verschickten) Nachrichten
erfolgreich entschlüssen und verifizieren?

Welche Empfänger-Software kann solche Nachrichten nicht verarbeiten?

Betrifft das auch die Test-Nachricht, die Du mir bereits geschickt hast?

Post by Thomas Barghahn
TB/BB geben hierzu keinerlei Warnhinweise vor dem
Versenden aus und verschicken die kaputten Nails (mal eben so). 😉

Naja, im Moment wissen die Entwicker ja noch nichts von diesem Problem,
also kann auch keine Warnung eingebaut worden sein.

Wir brauchen erstmal einen Fehlerbericht und Analyse und Verständnis was
hier los ist.

Post by Thomas Barghahn
Die externe Lagerung von privaten Schlüsseln macht also nur noch dann
Sinn, wenn *nur* signiert werden soll. Mit Enigmail gab es zu der
damaligen Zeit nie Schwierigkeiten. Allein durch diese Problematik ist
heute eine doppelte Schlüsselverwaltung nötig, wenn gpg auch für andere
Dinge (siehe bspw. Dateiverschlüsselung bei Arbeitsprozessen) eingesetzt
werden soll bzw. muss.

Bevor wir zu Schlussfolgerungen und grundsätzlichen Empfehlungen
übergehen, lasst uns erst mal den Fehler analysieren und hoffen, dass er
behoben werden kann.

Grüße

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Zunächst sollten wir unterscheiden, dass das erste Beispiel bezüglich
des Empfangs Schwierigkeiten macht. Die Test-Mail könntest du schon
erhalten haben.

Ok, es gibt also zwei Probleme, sagst Du.

Richtig. Das "Versenden"-Problem ist unabhängig von dem geschilderten
Problem des Empfangs, wofür du auch eine Test-Mail erhalten hast.

Post by Thunderbird Insider
Die Test-Mail habe ich erhalten, das Problem verstanden und erklärt,
siehe dazu meine andere Nachricht von vor wenigen Minuten.

Für die ausführliche Erklärung zunächst Herzlichen Dank!

Post by Thunderbird Insider
Kann Thunderbird solche (mit Thunderbird verschickten) Nachrichten
erfolgreich entschlüssen und verifizieren?

TB erzeugt eine kaputte Mail, welche weder TB noch andere Clienten
verarbeiten können.

Auch dieses Problem lässt sich immer wieder nachvollziehen und besteht
schon seit dem Zeitpunkt, seit Enigmail mit einer internen
Verschlüsselungstechnologie ersetzt wurde.

Sehr einfache Vorgehensweise, um dieses "Versenden"-Problem mit TB/BB
nachzustellen:
Die privaten Schlüssel werden *extern* gelagert. Siehe Beispiel:
<https://www.barghahn-online.de/Pictures/tb_bb_openpgp_extern.png>

Erstelle nun eine verschlüsselte *und (wichtig)* signierte Mail und
versende diese. Schon im "Sent-Ordner" wirst du deine versendete Mail
/kaputt/ mit folgendem Hinweis vorfinden. Der Empfänger dieser Mail
erhält ebenfalls mit *allen* Clienten diese oder (je nach Client) eine
ähnliche Fehlermeldung (Ergebnis):
<https://www.barghahn-online.de/Pictures/ergebnis_tb_bb.png>

Post by Thunderbird Insider
Welche Empfänger-Software kann solche Nachrichten nicht verarbeiten?

Alle. Also /kein/ Client (TB/BB inklusive) kann solche (kaputten) Mails
verarbeiten.

Post by Thunderbird Insider
Betrifft das auch die Test-Nachricht, die Du mir bereits geschickt hast?

Nein, die Test-Nachricht, welche du erhalten hast, die wurde mit
SeaMonkey/2.53.18.2 + aktuellem Enigmail erstellt und schildert das
Problem "Empfang".

Post by Thunderbird Insider
Wir brauchen erstmal einen Fehlerbericht und Analyse und Verständnis was
hier los ist.
Bevor wir zu Schlussfolgerungen und grundsätzlichen Empfehlungen
übergehen, lasst uns erst mal den Fehler analysieren und hoffen, dass er
behoben werden kann.

Siehe weiter oben: "Sehr einfache Vorgehensweise, ...".

Falls ich auch hierzu eine Test-Mail schicken soll, bitte einfach hier
wieder melden.

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn
Falls ich auch hierzu eine Test-Mail schicken soll, bitte einfach hier
wieder melden.

Ja bitte

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Falls ich auch hierzu eine Test-Mail schicken soll, bitte einfach hier
wieder melden.

Ja bitte

Eine Test-Mail (verschlüsselt und signiert) mit folgendem Inhalt ist auf
dem Weg:
<Loading Image...>

Die Mail wurde ohne Warnungen verschickt und ist hier im Sent-Ordner
schon kaputt.

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn
Eine Test-Mail (verschlüsselt und signiert) mit folgendem Inhalt ist auf
<https://www.barghahn-online.de/Pictures/bb_problem_versenden.png>

Danke. Ich sehe das Problem bei mir auch, und werde es so bald wie
möglich analysieren.

Grüße

[Thunderbird Insider]

Post by Thunderbird Insider

Post by Thomas Barghahn
Eine Test-Mail (verschlüsselt und signiert) mit folgendem Inhalt ist
<https://www.barghahn-online.de/Pictures/bb_problem_versenden.png>

Danke. Ich sehe das Problem bei mir auch, und werde es so bald wie
möglich analysieren.

Nutzt Du Linux, Windows oder macOS ?

Ich möchte Dir gerne eine Test-Version zur Verfügung stellen.
Der Test wäre, ob damit versendete Nachrichten dann nicht mehr kaputt sind.

[Thomas Barghahn]

Post by Thunderbird Insider
Nutzt Du Linux, Windows oder macOS ?

Ich nutze vorrangig Windows11 mit dem WSL2/Ubuntu.

Post by Thunderbird Insider
Ich möchte Dir gerne eine Test-Version zur Verfügung stellen.
Der Test wäre, ob damit versendete Nachrichten dann nicht mehr kaputt sind.

Bin gespannt. :-)

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn

Post by Thunderbird Insider
Nutzt Du Linux, Windows oder macOS ?

Ich nutze vorrangig Windows11 mit dem WSL2/Ubuntu.

Das macht es für mich nicht klar, ob Du Thunderbird als Windows-Binary
oder Linux-Binary brauchst.

Aber ich werde mal beide erzeugen.
Siehe

[Thunderbird Insider]

Post by Thunderbird Insider

Post by Thomas Barghahn

Post by Thunderbird Insider
Nutzt Du Linux, Windows oder macOS ?

Ich nutze vorrangig Windows11 mit dem WSL2/Ubuntu.

Das macht es für mich nicht klar, ob Du Thunderbird als Windows-Binary
oder Linux-Binary brauchst.
Aber ich werde mal beide erzeugen.
Siehe

https://bugzilla.mozilla.org/show_bug.cgi?id=1898832

[Kai Engert]

Post by Thunderbird Insider
https://bugzilla.mozilla.org/show_bug.cgi?id=1898832

Die Test-Version ist nun auf Bugzilla verlinkt.

Danke im voraus fürs Ausprobieren und Feedback geben.

Grüße
Kai

[Thomas Barghahn]

Post by Kai Engert

Post by Thunderbird Insider
https://bugzilla.mozilla.org/show_bug.cgi?id=1898832

Die Test-Version ist nun auf Bugzilla verlinkt.
Danke im voraus fürs Ausprobieren und Feedback geben.

Vielen Dank für all deine Bemühungen:
<Loading Image...>
:-(

Weiterhin funktioniert: *nur* das Verschlüsseln und *nur* das Signieren.
Das Signieren von verschlüsselten Nachrichten versagt auch mit dieser
Testversion.

Benötigst du weitere Informationen oder weitere Test-Mails?

Thomas

[Kai Engert]

Sehr schade, dass es auch mit der Test-Version und der Korrektur für bug
1898832 nicht bei Dir funktioniert.

Eine Theorie wäre noch, dass Du eine ältere Version der GPGME Library
auf Deinem System hast, die den Funktionsaufruf aus der Korrektur
ignoriert (um ASCII armor abzuschalten). Kannst Du herausfinden, was bei
Dir installiert ist, oder versuchen das zu aktualisieren? Und wenn es
mehrere Versionen von GPGME auf Deinem System gibt, sicherstellen dass
es evtl. nur eine aktuelle gibt?

Wenn möglich, bitte schicke erneut eine Test-Nachricht an die
***@nine.testrun.org Adresse mit dieser Test-Version.

Danke

[Thomas Barghahn]

Post by Kai Engert
Sehr schade, dass es auch mit der Test-Version und der Korrektur für bug
1898832 nicht bei Dir funktioniert.
Eine Theorie wäre noch, dass Du eine ältere Version der GPGME Library
auf Deinem System hast, die den Funktionsaufruf aus der Korrektur
ignoriert (um ASCII armor abzuschalten). Kannst Du herausfinden, was bei
Dir installiert ist, oder versuchen das zu aktualisieren?

GPGME ist Bestandteil des Pakets GPG4Win und somit immer auf aktuellem
Stand. Genutzt wird hier GPG4Win/4.3.1.

Post by Kai Engert
Wenn möglich, bitte schicke erneut eine Test-Nachricht an die

Ist unterwegs ...

Thomas

[Kai Engert]

Post by Kai Engert
Wenn möglich, bitte schicke erneut eine Test-Nachricht an die

Danke. Exakt gleiches Symtpom wie zuvor. Mein Korrektur-Versuch
funktioniert also auf Deinem System leider nicht.

Dann bleibt nur, dass ich versuche, Deine Umgebung exakt zu reproduzieren.

Ich versuche das bald zu machen.

Grüße

[Kai Engert]

Post by Kai Engert
Dann bleibt nur, dass ich versuche, Deine Umgebung exakt zu reproduzieren.

Leider kann ich das Problem nicht reproduzieren.

Ich habe Windows verwendet, mit Thunderbird 64 bit Version 115.x
(neueste Version), GPG4Win 4.3.1 (aktuelle Version).

Habe einen neuen Schlüssel mit Kleopatra erzeugt, den public key
exportiert, und in Thunderbird importiert.

Habe in Thunderbird external_gnupg erlaubt, habe die System-Environment
Path Variable um einen Eintrag auf das bin_64 Unterverzeichnis von
GPG4Win hinzugefügt.

Habe in Thunderbird sichergestellt, dass es keine weiteren OpenPGP
Schlüssel gibt - nur den selbst generierten, und hier auch nur den
Public Key.

Habe den externen GnuPG Schlüssel hinzugefügt.

Jetzt kann ich an mich selbst eine signierte Test-Mail schicken,
funktioniert.

Eine Mail die sowohl signiert und verschlüsselt ist (beides)
funktioniert auch, ich kann die Nachricht im Ordner der gesendeten
Nachrichten anklicken und entschlüsseln. Gleiches bei der an mich
zugestellen Email.

Ich denke es gibt in Deiner System-Umgebung irgendeine störende
Konfiguration.

Verwendet Du auch den 64-bit Thunderbird?

Kai

[Thomas Barghahn]

Post by Kai Engert

Post by Kai Engert
Dann bleibt nur, dass ich versuche, Deine Umgebung exakt zu
reproduzieren.

Leider kann ich das Problem nicht reproduzieren.

Schade eigentlich. Vergleichen wir einmal.

Post by Kai Engert
Ich habe Windows verwendet, mit Thunderbird 64 bit Version 115.x
(neueste Version), GPG4Win 4.3.1 (aktuelle Version).

Hier ebenso.

Post by Kai Engert
Habe einen neuen Schlüssel mit Kleopatra erzeugt, den public key
exportiert, und in Thunderbird importiert.

Hier ebenso, wobei ich vier eigene Schlüssel (public key) und ein paar
andere öffentliche Schlüssel importiert habe.

Post by Kai Engert
Habe in Thunderbird external_gnupg erlaubt, habe die System-Environment
Path Variable um einen Eintrag auf das bin_64 Unterverzeichnis von
GPG4Win hinzugefügt.

Hier ebenso per "user.js":
user_pref("mail.openpgp.allow_external_gnupg", true);

Umgebungsvariable "Path":
[...];C:\Program Files (x86)\Gpg4Win\bin_64;[...]

Zugriff funktioniert.

Post by Kai Engert
Habe in Thunderbird sichergestellt, dass es keine weiteren OpenPGP
Schlüssel gibt - nur den selbst generierten, und hier auch nur den
Public Key.

Siehe weiter oben. Weitere öffentliche Schlüssel werden ja benötigt,
damit sie bei dem Versenden auch erkannt werden.

Post by Kai Engert
Habe den externen GnuPG Schlüssel hinzugefügt.
Jetzt kann ich an mich selbst eine signierte Test-Mail schicken,
funktioniert.

Das Signieren und das Verschlüsseln funktioniert durchaus. Ich kann nur
nicht verschlüsseln *und* signieren (also beides zusammen).

Post by Kai Engert
Eine Mail die sowohl signiert und verschlüsselt ist (beides)
funktioniert auch, ich kann die Nachricht im Ordner der gesendeten
Nachrichten anklicken und entschlüsseln. Gleiches bei der an mich
zugestellen Email.

Hmm ...

Post by Kai Engert
Ich denke es gibt in Deiner System-Umgebung irgendeine störende
Konfiguration.

Ich werde es nun einmal mit einer "Minimal-Konfiguration" versuchen (nur
einen meiner öffentlichen Schlüssel). Ich melde mich dann hier wieder.

Post by Kai Engert
Verwendet Du auch den 64-bit Thunderbird?

Ja, ich bin mit Windows11, GPG4Win, TB/64bit und BB/64bit immer auf dem
neusten Stand.

Vielen Dank!

Thomas

[Kai Engert]

Hallo Thomas,

könntest Du bitte nochmal eine experimentelle Thunderbird-Version testen?

In Deinem Scenario (externes GnuPG), wird ja GPG verwendet um die
Nachricht zu signieren, und dann geben wir das Result an die RNP
Bibliothek, um zu verschlüsseln.

Wie ich in
https://bugzilla.mozilla.org/show_bug.cgi?id=1898832
beschreibe, kann ich mir das nur so erklären, dass GPG uns die signierte
Nachricht in der ASCII Armor Form gibt, obwohl es das nicht tun sollte.

Mein Versuch das zu beheben ist nun, das Ergebnis von GPG anzuschauen.
Wenn es ASCII ist, dann wird es zurück nach binär konvertiert, bevor es
an RNP zum Verschlüsseln weitergereicht wird.

Den Link zur Test-Version findest Du im Kommentar 12:
https://bugzilla.mozilla.org/show_bug.cgi?id=1898832#c12

Bitte gib Bescheid, ob das hilft, und sende mir gerne noch eine
Test-Nachricht.

Danke und Grüße
Kai

[Thomas Barghahn]

Post by Kai Engert
könntest Du bitte nochmal eine experimentelle Thunderbird-Version testen?
[...]
Bitte gib Bescheid, ob das hilft, und sende mir gerne noch eine
Test-Nachricht.

Du hast Post. :-) Ausgezeichnete Arbeit(!), denn endlich nach Jahren
funktioniert nun auch Verschlüsseln + Signieren mit externen Schlüsseln.

Nochmals Herzlichen Dank für diese Daily-Version! :-)

Thomas

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
Ich nutze vorrangig Windows11 mit dem WSL2/Ubuntu.

Das macht es für mich nicht klar, ob Du Thunderbird als Windows-Binary
oder Linux-Binary brauchst.

Dann würde ich mich immer für Windows entscheiden. :-)

Thomas

[Thomas Barghahn]

Post by Jörg Knobloch
Leider ist es so, dass die Verschlüsselungstechnologie sich ständig
ändert, alte E-Mails dann nicht mehr entschlüsselt werden können. Auf
der sicheren Seite ist man, wenn man verschlüsselte Nachrichten nach dem
Erhalt entschlüsselt. Klingt verrückt, ist aber so.

Dazu musste ich mich zunächst einmal kundig machen.

OpenPGP war, ist und bleibt vollständig abwärtskompatibel, was auch das
BSI immer wieder betont und dabei auf die entsprechende Spezifikation
verweist!

Sollte die MZLA bezüglich OpenPGP hier andere Wege gehen (wollen), so
sollte man vor der Benutzung von TB/BB im Zusammenhang mit
Verschlüsselungstechnologien grundsätzlich warnen. Zudem dürften TB/BB
dann nicht mehr mit dem Begriff "OpenPGP" auftreten und Werbung betreiben!

Siehe hierzu bitte auch die in diesem Thread geschilderte aktuelle
Situation bezüglich der Verifizierung und Entschlüsselung von OpenPGP
erstellten Chiffraten.

Thomas

[Thunderbird Insider]

Post by Thomas Barghahn
heute musste ich wiederholt feststellen, dass verschlüsselte Mails,
welche mit SeaMonkey 2.53.18.2 (benutzt Enigmail) verschlüsselt und
signiert wurden, von TB als auch von BB nicht entschlüsselt werden
konnten. Selbst eine gültige Signatur wird *nicht* (mehr) erkannt.

Welche Version on TB betrifft das?
Eine der 115.x Versionen?

Post by Thomas Barghahn
| :off 542: packet header 0xd2e9 (tag 18, partial len)
| Symmetrically-encrypted integrity protected data packet

Wenn es sich um den neuen Modus handeln würde, dann würde der Debug
Output ungefähr so aussehen:

:off 495: packet header 0xd4c013 (tag 20, len 211)
AEAD-encrypted data packet
aead algorithm: 2 (OCB)

Entgegen der Vermutungen in den anderen Nachrichten in dieser
Diskussion, nutzt diese verschlüsselte Nachricht scheinbar ein älteres
Paketformat (tag 18), aber eines, das eigentlich bereits in Kombination
mit MDC verwendet wird.

Es ist also noch nicht klar, warum mit TB nicht entschlüsselt werden
kann. Vielleicht ist die Nachricht beschädigt worden?

TB 115.x kann den neuesten Verschlüsselungs-Modus (AEAD/OCB), der
spezifisch von neueren GnuPG/LibrePGP eingeführt wurde, übrigens
entschlüsseln, zumindest sollte er es können. Nur in den neueren
Entwicklungs-Versionen wurde er abgeschaltet, und es wird aktuell
diskutiert, ob er doch wieder eingeschaltet werden sollte.)

Seid ihr in der Lage, solche Nachrichten reproduzierbar zu erzeugen?

Wenn ja, könntet ihr bitte solche verschlüsselte an mich schicken?

Den OpenPGP-Schlüssel für meine email Adresse findet ihr bei
keys.openpgp.org

Danke

[Jörg Knobloch]

Post by Thunderbird Insider
Welche Version on TB betrifft das?
Eine der 115.x Versionen?

Hi, Kai. Nett, dass Du auf https://bugzilla.mozilla.org/show_bug.cgi?id=1896918#c1
reagiert hast. Wieso inkognito? Wir wissen, dass Du es bist.

Viele herzliche Grüße, Jörg ;-)

[Thomas Barghahn]

Post by Thunderbird Insider

Post by Thomas Barghahn
heute musste ich wiederholt feststellen, dass verschlüsselte Mails,
welche mit SeaMonkey 2.53.18.2 (benutzt Enigmail) verschlüsselt und
signiert wurden, von TB als auch von BB nicht entschlüsselt werden
konnten. Selbst eine gültige Signatur wird *nicht* (mehr) erkannt.

Welche Version on TB betrifft das?
Eine der 115.x Versionen?

Genutzt werden hier die aktuellen Versionen von TB & BB 115.11.0.
Aufgefallen ist dieses Problem aber auch schon in früheren Versionen der
genannten Clienten.

Post by Thunderbird Insider
[...]
Es ist also noch nicht klar, warum mit TB nicht entschlüsselt werden
kann. Vielleicht ist die Nachricht beschädigt worden?

Keinesfalls, denn dann wären jene Nachrichten auf anderen Clienten
(bspw. CM, TheBat! oder Outlook) ebenfalls nicht verifizier- und
entschlüsselbar. In jenen Clienten wird das Chiffrat korrekt "ausgewertet".

Post by Thunderbird Insider
Seid ihr in der Lage, solche Nachrichten reproduzierbar zu erzeugen?

Jederzeit. :-) SeaMonkey/2.53.18.2 war hier schon länger installiert.
Enigmail wurde Add-On nun zu Testzwecken noch einmal hinzugezogen, um
genau solch eine Situation nachzustellen. Klappt immer! ;-)

Post by Thunderbird Insider
Wenn ja, könntet ihr bitte solche verschlüsselte an mich schicken?

Sehr gern. Eine verschlüsselte und signierte Mail wird in wenigen
Minuten versendet (siehe Bild).

<Loading Image...>

Post by Thunderbird Insider
Den OpenPGP-Schlüssel für meine email Adresse findet ihr bei
keys.openpgp.org

Gefunden! Vielen Dank! :-)

Thomas

[Matthias Berke]

Post by Thomas Barghahn

Post by Thunderbird Insider
Wenn ja, könntet ihr bitte solche verschlüsselte an mich schicken?

Sehr gern. Eine verschlüsselte und signierte Mail wird in wenigen
Minuten versendet (siehe Bild).
<https://www.barghahn-online.de/Pictures/sm_test_mail.png>

Nur mal so gefragt, weil es mir aufgefallen ist...

Macht es denn einen Unterschied, für den von Dir festgstellten Fehler in
TB oder BB, ob man eine Mail im HTML- oder im Text-Format verschlüsselt
versendet/empfängt?

[Thomas Barghahn]

Post by Matthias Berke

Post by Thomas Barghahn
<https://www.barghahn-online.de/Pictures/sm_test_mail.png>

Nur mal so gefragt, weil es mir aufgefallen ist...

Es macht absolut keinen Unterschied.

Thomas

[Thomas Barghahn]

Post by Thomas Barghahn
Sehr gern. Eine verschlüsselte und signierte Mail wird in wenigen
Minuten versendet (siehe Bild).
<https://www.barghahn-online.de/Pictures/sm_test_mail.png>

Hier die Ergebnisse:

TB/BB : <Loading Image...>
:-(
Outlook: <Loading Image...>
CM : <Loading Image...>
TheBat!: <Loading Image...>
:-)

Viel Erfolg! :-)

Thomas

[Jörg Lorenz]

Post by Thomas Barghahn

Post by Thomas Barghahn
Sehr gern. Eine verschlüsselte und signierte Mail wird in wenigen
Minuten versendet (siehe Bild).
<https://www.barghahn-online.de/Pictures/sm_test_mail.png>

TB/BB : <https://www.barghahn-online.de/Pictures/ergebnis_tb_bb.png>

Bei mir funktionierte die Verschlüsselung und Entschlüsselung mit
OpenPGP auf aktuellem TB immer einwandfrei.

Mein Problem ist eher, dass ich kaum Gegenparteien habe, die OpenPGP
kennen und/oder einsetzen. Wenn, dann vor allem SMIME mit meiner Bank
oder dem Datenschutzbeauftragten der Stadt.

Die wenigen Gegenparteien mit OpenPGP benutzen ausnahmslos Clients, die
auf Linux laufen. Über die Gründe lässt sich trefflich spekulieren.

Post by Thomas Barghahn
:-(
Outlook: <https://www.barghahn-online.de/Pictures/ergebnis_outlook.png>
CM : <https://www.barghahn-online.de/Pictures/ergebnis_cm.png>
TheBat!: <https://www.barghahn-online.de/Pictures/ergebnis_thebat.png>
:-)
Viel Erfolg! :-)
Thomas

Jörg

[Thomas Barghahn]

Post by Jörg Lorenz

TB/BB  : <https://www.barghahn-online.de/Pictures/ergebnis_tb_bb.png>

Bei mir funktionierte die Verschlüsselung und Entschlüsselung mit
OpenPGP auf aktuellem TB immer einwandfrei.
Mein Problem ist eher, dass ich kaum Gegenparteien habe, die OpenPGP
kennen und/oder einsetzen. Wenn, dann vor allem SMIME mit meiner Bank
oder dem Datenschutzbeauftragten der Stadt.

Wenn du mir erlaubst, so würde ich auch dir eine Test-Mail zukommen
lassen. In jenem Fall würdest auch du dann sehen, dass OpenPGP heute
nicht mehr gleich OpenPGP ist. ;-)

Allerdings benötigte ich dann eine entsprechend Mail-Adresse mit dem
öffentlichen Schlüssel dazu von dir. Meine öffentlichen Schlüssel
findest du alle per Eingabe meiner Mail-Adressen unter:
<https://keys.openpgp.org/>

Post by Jörg Lorenz
Die wenigen Gegenparteien mit OpenPGP benutzen ausnahmslos Clients, die
auf Linux laufen. Über die Gründe lässt sich trefflich spekulieren.

+1. Im alltäglichen Arbeitsleben komme ich ohne Verschlüsselung +
Signierung allerdings nicht mehr aus, was meine Interesse zu diesem
Thema hier auch verdeutlicht.

Danke!

Thomas

[Jörg Lorenz]

Post by Thomas Barghahn

Post by Jörg Lorenz

TB/BB  : <https://www.barghahn-online.de/Pictures/ergebnis_tb_bb.png>

Bei mir funktionierte die Verschlüsselung und Entschlüsselung mit
OpenPGP auf aktuellem TB immer einwandfrei.
Mein Problem ist eher, dass ich kaum Gegenparteien habe, die OpenPGP
kennen und/oder einsetzen. Wenn, dann vor allem SMIME mit meiner Bank
oder dem Datenschutzbeauftragten der Stadt.

Wenn du mir erlaubst, so würde ich auch dir eine Test-Mail zukommen
lassen. In jenem Fall würdest auch du dann sehen, dass OpenPGP heute
nicht mehr gleich OpenPGP ist. ;-)

Wie bitte? Aber Du darfst selbstverständlich. Schick es bitte an
****@web.de*. Mit dieser Adresse findest Du auch den öffentlichen
Schlüssel auf dem keyserver. Das ist eine Testadresse, die ich nur für
Test-Zwecke verwende, also keine Bange. Zudem ist sie mit einer
Whitelist gegen Spam geschützt. Deine Mailadresse ist problemlos.

Post by Thomas Barghahn
Allerdings benötigte ich dann eine entsprechend Mail-Adresse mit dem
öffentlichen Schlüssel dazu von dir. Meine öffentlichen Schlüssel
<https://keys.openpgp.org/>

Alles klar. Deinen öffentlichen Schlüssel habe ich importiert.

Post by Thomas Barghahn

Post by Jörg Lorenz
Die wenigen Gegenparteien mit OpenPGP benutzen ausnahmslos Clients, die
auf Linux laufen. Über die Gründe lässt sich trefflich spekulieren.

+1. Im alltäglichen Arbeitsleben komme ich ohne Verschlüsselung +
Signierung allerdings nicht mehr aus, was meine Interesse zu diesem
Thema hier auch verdeutlicht.

Meine Kenntnisse zum Thema sind auf das Grundlegendste beschränkt,
gerade weil ich zu wenige Gegenparteien habe.

Post by Thomas Barghahn
Danke!

Bitte. Ich warte.

Post by Thomas Barghahn
Thomas

Jörg

[Thomas Barghahn]

Post by Jörg Lorenz
Bitte. Ich warte.

Eine Test-Mail an dich ist unterwegs. Mit jedem anderen Mail-Programm
wirst du die Mail entschlüsseln können. TB/BB wird es nicht können.

Thomas

[Thomas Barghahn]

Post by Thomas Barghahn

Post by Jörg Lorenz
Bitte. Ich warte.

Eine Test-Mail an dich ist unterwegs. Mit jedem anderen Mail-Programm
wirst du die Mail entschlüsseln können. TB/BB wird es nicht können.

Die an dich verschickte Mail mit TB/BB:
<Loading Image...>

Die an dich verschickte Mail mit TheBat!:
<Loading Image...>

Das ist der heutige Unterschied zwischen OpenPGP und OpenPGP. ;-)

Thomas

[Jörg Lorenz]

Post by Thomas Barghahn

Post by Jörg Lorenz
Bitte. Ich warte.

Eine Test-Mail an dich ist unterwegs. Mit jedem anderen Mail-Programm
wirst du die Mail entschlüsseln können. TB/BB wird es nicht können.

Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Post by Thomas Barghahn
Thomas

Jörg

[Thomas Barghahn]

Post by Jörg Lorenz

Post by Thomas Barghahn

Post by Jörg Lorenz
Bitte. Ich warte.

Eine Test-Mail an dich ist unterwegs. Mit jedem anderen Mail-Programm
wirst du die Mail entschlüsseln können. TB/BB wird es nicht können.

Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Das glaube ich gern, denn Wolfgang benutzt eine Konfiguration, welche
ich ihm eingerichtet habe. Zudem nutzt Wolfgang Claws-Mail für eine
verschlüsselte Kommunikation.

Würde ich dir eine Mail per Thunderbird oder Betterbird mit interner
Verschlüsselungstechnologie zusenden, so hätten wir beide wahrscheinlich
nie Probleme mit dem Entschlüsseln.

Thomas

[Jörg Lorenz]

Post by Thomas Barghahn

Post by Jörg Lorenz

Post by Thomas Barghahn

Post by Jörg Lorenz
Bitte. Ich warte.

Eine Test-Mail an dich ist unterwegs. Mit jedem anderen Mail-Programm
wirst du die Mail entschlüsseln können. TB/BB wird es nicht können.

Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Das glaube ich gern, denn Wolfgang benutzt eine Konfiguration, welche
ich ihm eingerichtet habe. Zudem nutzt Wolfgang Claws-Mail für eine
verschlüsselte Kommunikation.

In der Tat:
X-Mailer: Claws Mail 4.2.0 (GTK 3.24.41; x86_64-pc-linux-gnu)

Du hast mir das Test-Mail mit dem völlig veralteten Seamonkey geschickt.
Ob das dabei eine Rolle spielt, kann ich nicht beurteilen.

Post by Thomas Barghahn
Würde ich dir eine Mail per Thunderbird oder Betterbird mit interner
Verschlüsselungstechnologie zusenden, so hätten wir beide wahrscheinlich
nie Probleme mit dem Entschlüsseln.

Funktionierte übrigens auch auf Evolution, auf dem ich das testhalber
eingerichtet hatte. Ist allerdings geringfügig aufwendiger. Und Dein
zweites Mail mit BB gesendet, kam einwandfrei in meiner Inbox an.

Post by Thomas Barghahn
Thomas

Jörg

[Thomas Barghahn]

Post by Jörg Lorenz
Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Möchtest du eine Test-Mail mit interner Verschlüsselungstechnologie
bekommen? Du wirst sie ohne Probleme lesen können.

Thomas

[Jörg Lorenz]

Post by Thomas Barghahn

Post by Jörg Lorenz
Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Möchtest du eine Test-Mail mit interner Verschlüsselungstechnologie
bekommen? Du wirst sie ohne Probleme lesen können.

Hat mit dem BB geklappt. Habe es aber auch schon mit Evolution zum
Fliegen gebracht. Ist allerdings schon eine Weile her, dass ich mich
nicht im Detail an die Konfiguration erinnern kann. AFAIR hat Evo/TB
funktioniert.

Post by Thomas Barghahn
Thomas

Jörg

[Jörg Lorenz]

Post by Jörg Lorenz

Post by Thomas Barghahn

Post by Jörg Lorenz
Das klappte auch nicht, mit einer Fehlermeldung. Mit den genau gleichen
Parametern hat mir Wolfgang Bauer eine OpenPGP-verschlüsselte Mail
geschickt und das machte nicht die geringsten Probleme.

Möchtest du eine Test-Mail mit interner Verschlüsselungstechnologie
bekommen? Du wirst sie ohne Probleme lesen können.

Hat mit dem BB geklappt. Habe es aber auch schon mit Evolution zum
Fliegen gebracht. Ist allerdings schon eine Weile her, dass ich mich
nicht im Detail an die Konfiguration erinnern kann. AFAIR hat Evo/TB
funktioniert.

Hier noch der Beleg dazu:

Eine OpenPGP-Nachricht von Evolution an Thunderbird funktioniert
einwandfrei.


-------- Weitergeleitete Nachricht --------
Betreff: TEST
Datum: Mon, 27 May 2024 11:39:57 +0200
Von: Jörg Lorenz <joerg.lorenz@*.ch>
Organisation: Camembert Normand au Lait Cru
An: ***@web.de <***@web.de>

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

Evotest

Dies ist ein Test

- --
Joerg Lorenz, mailto:joerg.lorenz@*.ch
Eidg. dipl. Finanzanalyst / CEFA
https://keys.openpgp.org/ (Public Key Server)
Tel: *.* / Mobiltel.: *.*
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEqXW56BWRpafpqXhe6aSmcIcJmWYFAmZUVO0ACgkQ6aSmcIcJ
mWbgqQv/ejnfcv2SqKMHgTWz4oh8kkW80rNx4R5zRWeY3ig6wqGI+7tJEfqbxG+d
RHnshbq/CzE3kQL3MGMuGAr3yoiIU5D2HR1ThQaDEyOBdwn22+P60wL49GFYRa9v
iWBGcp+Dh/nqJOddqQJcPgYCMWbZ6aL09lKXqR0Sv+K5AKlicXDIWFEDhgwsP/90
t+YmStP4B02WE5MRJohvxEA86s279olB64Yvwlg44EKWMRvQE/KZESADe84if3gm
NJ8SZqf9wTHMkaoX459eJ8FIUxTykxEEAD7Jyj3k2OUyFaln8jkV7s3GqIfwnZ4O
c6z3Kwnb1MXd0wyE+PxSes9StKVlj4uPRr5aXtZKW9DAM/J+t39UCEed8BejMXkN
ZjvWOeAjg2mt1ezMzhBda2P9WeA0FHwoTAUhkdZajVw2A6qzrxRa2HT++oz2cgcI
Tzh/2feYjXGbm7Yh5bfKmXD96Psco9/0DqtRa1RHb14GhltJwg2doqJzkcraKW+z
tMGGjA0g
=Co2Q
-----END PGP SIGNATURE-----

[Thomas Barghahn]

Post by Jörg Lorenz
Evotest
Dies ist ein Test

Siehe hierzu bitte meine Mail.

Dank(!) für deine Interesse..

Thomas

[Thunderbird Insider]

Post by Thunderbird Insider
Seid ihr in der Lage, solche Nachrichten reproduzierbar zu erzeugen?
Wenn ja, könntet ihr bitte solche verschlüsselte an mich schicken?

Danke für die Test-Nachricht, ich kann nun die Ursache erklären.

Der Grund ist tatsächlich, dass die neuste Version von GnuPG eine neue
Kodierung bei der Verschlüsselung verwendet.

Es handelt sich dabei um ein relativ kleines Detail, um ein
Daten-Attribut, mit dem gesagt wird, um welchen Daten-Typ es sich beim
Inhalt der verschlüsselten Nachricht handelt.

Diese Kodierung (0x6d) ist erst in der LibrePGP Specification definiert,
https://www.ietf.org/archive/id/draft-koch-librepgp-00.html#name-literal-data-packet-tag-11
aber war noch nicht in der von der IETF standardisierten Spezifikation
enthalten
https://www.rfc-editor.org/rfc/rfc4880.html#section-5.9

Auch in der überarbeiteten OpenPGP Spezifikation der IETF ist dieser
Modus nicht enthalten:
https://www.ietf.org/archive/id/draft-ietf-openpgp-crypto-refresh-13.html#name-literal-data-packet-type-id

Aber die aktuell vom stabilen Thunderbird 115.x verwendete Version von
RNP ist relativ strikt, was den Umgang mit diesem Attribut handelt. Wird
ein Typ verwendet, den RNP nicht explizit kennt, dann leht RNP die
Verarbeitung der Nachricht ab.

(Wenn es andere Programme gibt, die die Nachrichten von GnuPG trotzdem
entschlüsseln konnten, dann könnte dies daran liegen, dass sie den
Datentyp-Bezeichner ignorieren.)

Nach meinem Verständnis war das ein unbeabsichtiger Fehler von GnuPG. Es
wurde angenommen, dass dieses Attribut bei niemandem einen Fehler
erzeugen würde. Der Grund für das Problem war also nicht ausreichendes
Testen auf Interoperabilität auf Seiten von GnuPG.

Aber dennoch muss man sagen, dass GnuPG hier eine Kodierung eingeführt
hat, die von anderen Spezifikationen abweicht. Wenn GnuPG so etwas
macht, muss es damit rechnen, dass andere Implementierungen von *PGP die
Nachrichten von GnuPG nicht verstehen.

Ich kann nur jeden Benutzer von OpenPGP ermutigen, sich an die
Entwickler von GnuPG zu wenden, und diese aktiv darum zu bitten, eine
Interoperabilität mit anderen Implementierungen und eine gemeinsame
Spezifikation mit dem Rest der Welt (IETF) anzustreben, um ähnliche
Probleme in der Zukunft zu vermeiden.

Das konkrete Problem wird hier im Detail beschrieben:
https://bugzilla.mozilla.org/show_bug.cgi?id=1884508

Auch bei GnuPG gibt es hierfür einen Tracker:
https://dev.gnupg.org/T7061

Der Tracker bei RNP:
https://github.com/rnpgp/rnp/issues/2198

Um das Problem zu beheben ist ein Update der RNP Bibliothek
erforderlich, konkret die aktualisierte Version 0.17.1,
https://github.com/rnpgp/rnp/releases/tag/v0.17.1
die erst vor 10 Tagen veröffentlicht wurde.

Die aktuellen Entwicklungs-Versionen von Thunderbird (Daily und Beta)
enthalten bereits die neue Version, und sind in der Lage die betroffenen
Nachrichten zu entschlüsseln.
https://bugzilla.mozilla.org/show_bug.cgi?id=1885353

Es wird noch auf Test-Feedback gewartet, aber wenn alles gut läuft,
sollte es nicht mehr lange dauern, bis auch der stabile Zweig von
Thunderbird 115.x die aktualsierte Version 0.17.1 von RNP und damit die
Korrektur für dieses Problem erhält.

Grüße