• IT-Karriere:
  • Services:

PGP im Browser: Posteo warnt vor Mailvelope mit Firefox

PGP im Browser ist für viele Nutzer bequemer als die Verwendung eines lokalen Mailclients. Doch Firefox-Nutzer sollen nach Angaben von Posteo aufpassen, ihr PGP-Schlüssel könne von manipulierten Addons entwendet werden.

Artikel veröffentlicht am ,
Mit Mailvelope lassen sich PGP-verschlüsselte Mails im Browser entschlüsseln..
Mit Mailvelope lassen sich PGP-verschlüsselte Mails im Browser entschlüsseln.. (Bild: Mailvelope)

Der E-Mail-Anbieter Posteo warnt in einem Blogbeitrag vor der Verwendung des PGP-Addons Mailvelope in Verbindung mit dem Firefox-Browser. Eine unzureichende Abschottung der Addons gegeneinander könne zum Verlust des geheimen PGP-Schlüssels führen, schreibt das Unternehmen unter Verweis auf eine Analyse der Sicherheitsfirma Cure53. Die Warnung bezieht sich natürlich nicht nur auf die Verwendung von Posteo-Accounts mit Mailvelope, sondern auch bei allen anderen Anbietern.

Stellenmarkt
  1. Klinikum Neumarkt, Neumarkt i.d.OPf.
  2. MSC Software GmbH, München

Angreifer könnten die Schwachstelle nutzen, um mittels kompromittierter Addons den Privaten Schlüssel des Nutzers auszulesen. In dem Blogpost von Posteo heißt es deshalb, "Letztendlich kann das Cure53-Team das Verwenden von Mailvelope unter Firefox nicht guten Gewissens empfehlen." Das wird auch erst einmal so bleiben, denn die Schwachstelle basiert auf einem Problem in der aktuellen Firefox-Version. Eine Überarbeitung der Addon-Architektur soll mit der Firefox-Version 57 im November dieses Jahres erscheinen.

Der Entwickler von Mailvelope, Thomas Oberndörfer, soll bereits über das Problem informiert worden sein. Bei Posteo sagte er: "Mailvelope ist natürlich von der Sicherheit der zugrundeliegenden Browser Plattform abhängig. Schwächen im Addon-System von Firefox sind schon länger bekannt, umso mehr ist es zu begrüßen, dass Mozilla hier jetzt nachbessert." Mario Heidereich von Cure53 sagt zu der Schwachstelle: "Das Problem liegt aktuell in der Architektur. Daher gibt es keinen einfachen Fix. Mozilla weiß das, muss aber auch den schweren Spagat zwischen radikalen Änderungen sowie besonnenen und daher oft träge wirkenden Entscheidungen halten."

Notlösung: Mailvelope in separatem Profil nutzen

Posteo empfiehlt daher, Mailvelope unter Firefox nicht weiter zu verwenden, bis die Probleme behoben sind. Nutzer können ihre Einstellungen exportieren und die Extension etwa unter Google Chrome weiter nutzen. Alternativ kann PGP natürlich mit einem Mailclient wie Thunderbird genutzt werden. Wer das Addon unbedingt weiter unter Firefox nutzen will, kann dies tun, indem er Mailvelope in einem separaten Profil installiert und dort keine weiteren Addons nutzt.

Der von Posteo finanzierte Prüfbericht enthält nach Angaben des Unternehmens die für einen Angriff notwendigen Informationen. Daher soll er erst veröffentlicht werden, wenn alle Probleme gelöst sind. Hintergründe zum Thema PGP im Browser haben wir in einem Artikel beleuchtet.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. INNO3D GeForce RTX 3060 Ti Twin X2 OC Grafikkarte für 519€)
  2. (u. a. AMD Ryzen 7 5800X, Prozessor für 509€)
  3. (u. a. ZOTAC Gaming GeForce RTX 3060 Ti Twin Edge für 523,18€)
  4. (u. a. ZOTAC GAMING GEFORCE RTX 3060 TI TWIN EDGE 8GB GDDR6 für 411,56€)

rugk 05. Mai 2017

Wenn Geheimdienste es schaffen, dir Malware unterzujubeln, dann sind PGP-verschlüsselte...

Comicbuchverkäufer 04. Mai 2017

da ich nur noch zwei weitere Addons verwende. DownThemAll und uBlock. Man sollte halt...


Folgen Sie uns
       


Radeon RX 6800 (XT) im Test mit Benchmarks

Lange hatte AMD bei Highend-Grafikkarten nichts zu melden, mit den Radeon RX 6800 (XT) kehrt die Gaming-Konkurrenz zurück.

Radeon RX 6800 (XT) im Test mit Benchmarks Video aufrufen
    •  /