Abo
  • IT-Karriere:

PGP im Browser: Posteo warnt vor Mailvelope mit Firefox

PGP im Browser ist für viele Nutzer bequemer als die Verwendung eines lokalen Mailclients. Doch Firefox-Nutzer sollen nach Angaben von Posteo aufpassen, ihr PGP-Schlüssel könne von manipulierten Addons entwendet werden.

Artikel veröffentlicht am ,
Mit Mailvelope lassen sich PGP-verschlüsselte Mails im Browser entschlüsseln..
Mit Mailvelope lassen sich PGP-verschlüsselte Mails im Browser entschlüsseln.. (Bild: Mailvelope)

Der E-Mail-Anbieter Posteo warnt in einem Blogbeitrag vor der Verwendung des PGP-Addons Mailvelope in Verbindung mit dem Firefox-Browser. Eine unzureichende Abschottung der Addons gegeneinander könne zum Verlust des geheimen PGP-Schlüssels führen, schreibt das Unternehmen unter Verweis auf eine Analyse der Sicherheitsfirma Cure53. Die Warnung bezieht sich natürlich nicht nur auf die Verwendung von Posteo-Accounts mit Mailvelope, sondern auch bei allen anderen Anbietern.

Stellenmarkt
  1. Radeberger Gruppe KG, Frankfurt am Main
  2. Mentis International Human Resources GmbH, Großraum Nürnberg

Angreifer könnten die Schwachstelle nutzen, um mittels kompromittierter Addons den Privaten Schlüssel des Nutzers auszulesen. In dem Blogpost von Posteo heißt es deshalb, "Letztendlich kann das Cure53-Team das Verwenden von Mailvelope unter Firefox nicht guten Gewissens empfehlen." Das wird auch erst einmal so bleiben, denn die Schwachstelle basiert auf einem Problem in der aktuellen Firefox-Version. Eine Überarbeitung der Addon-Architektur soll mit der Firefox-Version 57 im November dieses Jahres erscheinen.

Der Entwickler von Mailvelope, Thomas Oberndörfer, soll bereits über das Problem informiert worden sein. Bei Posteo sagte er: "Mailvelope ist natürlich von der Sicherheit der zugrundeliegenden Browser Plattform abhängig. Schwächen im Addon-System von Firefox sind schon länger bekannt, umso mehr ist es zu begrüßen, dass Mozilla hier jetzt nachbessert." Mario Heidereich von Cure53 sagt zu der Schwachstelle: "Das Problem liegt aktuell in der Architektur. Daher gibt es keinen einfachen Fix. Mozilla weiß das, muss aber auch den schweren Spagat zwischen radikalen Änderungen sowie besonnenen und daher oft träge wirkenden Entscheidungen halten."

Notlösung: Mailvelope in separatem Profil nutzen

Posteo empfiehlt daher, Mailvelope unter Firefox nicht weiter zu verwenden, bis die Probleme behoben sind. Nutzer können ihre Einstellungen exportieren und die Extension etwa unter Google Chrome weiter nutzen. Alternativ kann PGP natürlich mit einem Mailclient wie Thunderbird genutzt werden. Wer das Addon unbedingt weiter unter Firefox nutzen will, kann dies tun, indem er Mailvelope in einem separaten Profil installiert und dort keine weiteren Addons nutzt.

Der von Posteo finanzierte Prüfbericht enthält nach Angaben des Unternehmens die für einen Angriff notwendigen Informationen. Daher soll er erst veröffentlicht werden, wenn alle Probleme gelöst sind. Hintergründe zum Thema PGP im Browser haben wir in einem Artikel beleuchtet.



Anzeige
Spiele-Angebote
  1. (-70%) 14,99€
  2. 32,99€
  3. 49,94€
  4. 2,99€

rugk 05. Mai 2017

Wenn Geheimdienste es schaffen, dir Malware unterzujubeln, dann sind PGP-verschlüsselte...

Comicbuchverkäufer 04. Mai 2017

da ich nur noch zwei weitere Addons verwende. DownThemAll und uBlock. Man sollte halt...


Folgen Sie uns
       


Asus Prime Utopia angesehen

Asus zeigt auf der Computex 2019 eine Ideenstudie für ein neues High-End-Mainboard.

Asus Prime Utopia angesehen Video aufrufen
Ursula von der Leyen: Von Zensursula zur EU-Kommissionspräsidentin
Ursula von der Leyen
Von "Zensursula" zur EU-Kommissionspräsidentin

Nach der "Rede ihres Lebens" hat das Europäische Parlament am Dienstagabend Ursula von der Leyen an die Spitze der EU-Kommission gewählt. Die Christdemokratin will sich in ihrem neuen Amt binnen 100 Tagen für einen Ethik-Rahmen für KI und ambitioniertere Klimaziele stark machen. Den Planeten retten, lautet ihr ganz großer Vorsatz.
Ein Bericht von Justus Staufburg

  1. Adsense for Search Neue Milliardenstrafe gegen Google in der EU

Ricoh GR III im Test: Kompaktkamera mit Riesensensor, aber ohne Zoom
Ricoh GR III im Test
Kompaktkamera mit Riesensensor, aber ohne Zoom

Kann das gutgehen? Ricoh hat mit der GR III eine Kompaktkamera im Sortiment, die mit einem APS-C-Sensor ausgerüstet ist, rund 900 Euro kostet und keinen Zoom bietet. Wir haben die Kamera ausprobiert.
Ein Test von Andreas Donath

  1. Theta Z1 Ricoh stellt 360-Grad-Panoramakamera mit Profifunktionen vor
  2. Ricoh GR III Eine halbe Sekunde Belichtungszeit ohne Stativ

Mobilfunktarife fürs IoT: Die Dinge ins Internet bringen
Mobilfunktarife fürs IoT
Die Dinge ins Internet bringen

Kabellos per Mobilfunk bringt man smarte Geräte am leichtesten ins Internet der Dinge. Dafür haben deutsche Netzanbieter Angebote für Unternehmen wie auch für Privatkunden.
Von Jan Raehm

  1. Smart Lock Forscher hacken Türschlösser mit einfachen Mitteln
  2. Brickerbot 2.0 Neue Schadsoftware möchte IoT-Geräte zerstören
  3. Abus-Alarmanlage RFID-Schlüssel lassen sich klonen

    •  /