Hallo
Ich weiß nicht, welchen Teil des Paketes es betrifft und ob ich mich nicht vlt. sogar irre.
Laut https://de.wikipedia.org/wiki/Pretty_Good_Privacy#Sicherheit soll eine Nachricht erst verschlüsselt und dann signiert werden.
Wenn ich beide Optionen in Thunderbird aktiviere, dann habe ich den Eindruck, daß es genau anders herum gemacht wird. Zumindest ist es beim Lesen der Nachricht erforderlich, zuerst die Nachricht zu entschlüsseln, bevor die Signatur geprüft werden kann. Eigentlich müßte sie doch ohne entschlüsseln geprüft werden können. Damit man vor dem Auspacken (einer eventuellen Schadsoftware etc.) sicher sein kann, daß die mail vorm richtigen Absender stammt.
Oder?
Hi,
das ist zwar eher eine Frage an die Enigmail community aber Ich versuche sie trozdem mal zu beantworten.
Ich vermute das enigmail wenn man verschlüsselt und Signiert eine kombinierte verschlüsselte / signierte Nachricht erstellt. Da kann man dann meines Wissens die Signatur nicht prüfen ohne zu entschlüsseln.
kannst du z.B. auch selbst der Kommandozeile erzeugen mit:
( gpg2 --armor --encrypt --sign -u test@example.com -r test@example.com )
test@example.com natürlich durch deine eigene Adresse ersetzen.
Bei dieser kombination kann man dann soweit ich weiß aber auch nicht einfach die signatur “heraustrennen”. Der in Wikipedia referenzierte Angriffsvektor existiert dabei also nicht.