我有一个关于使用 PGP 通过 Thunderbird 78 签署电子邮件的最佳实践的疑问。
Thunderbird 78 采用了现有系统Enigmail并将其“内部”构建到电子邮件客户端程序中。这导致了一些显着的变化，这些变化对我来说是令人担忧的，我想怀疑我的担忧是否有效；
- Thunderbird 78 型号采用私钥并在内部使用随机密码重新加密它们的副本，该密码显然定期更改。Bugzilla 参考
这是为了使密钥安全，但因为它都是自动化的，这标志着我的两个担忧：
解密/提取和/或暴力破解密钥值所需的整个代码/密钥/密码/密码短语已经静态存储在磁盘上（或可能在线）。
没有任何形式的身份验证机制，即电子邮件客户端的任何用户都是应该有权访问 PGP 密钥的任何人。
第二部分：
- 默认情况下，Thunderbird 不提供安全身份验证方法（密码）来访问程序或其中的所有邮箱（和加密电子邮件），包括 PGP 电子邮件。有一个设置“主密码”的选项，据记录是加载 PGP 密钥所必需的，但这也有一些错误，即这不会在电子邮件客户端的第一次加载以及其他一些情况下触发。
我发现由于这些错误，PGP 加密邮件默认由 Thunderbird解密，因此任何用户都可以查看，而无需输入任何Master Password.
其他人也担心磁盘设备上的密码如何访问（即使使用主密码）。
- 我在这里再次担心的是，主密码的熵可能低于与 GnuPGP 源密钥关联的密码。
（老实说，第 3 个问题可能更让我担心，但整个场景在两个因素上确实感觉不太安全：安全性，更重要的是身份验证）