Beiträge von trace34

Hier die Antwort wie versprochen:

An answer from the Dev.Tech-crypto Mozilla (Developer) Goolge Group to this subject can be found here:

Hope it clarifies:

http://groups.google.com/group/mozilla.…885d0624ab4ffe9

http://groups.google.com/group/mozilla.…6c4b5c7f5925223

Also a short citation:
"Thank you,
ecellent dickussion and conclusion we arrived to.

I understand the general consensus is that the statement about unnotified
key transmission [...] is correct, saying: "I know of no way", rather
than "there is no way". (As Nelson Bolyard wrote).

We are all aware that there is no 100% answer (as always in life), but I
assume your knowledge has some weight. "

Hallo, wir haben in einem Thunderbird Forum das folgendes Posting gemacht, und würden uns auch hier über Firefox-Spezifische Hinweise Freuen:

Wir wollen für private und evtl. später auch gewerbliche Nutzung Thawte X.509 E-Mail Zertifikate beantragen, unter Verwendung von Firefox.

Während der Erstellung des Privaten/Public Key Paares sowie bei Erstellung des Zertifikats mit Firefox ist man bekanntlich bei Thawte eingeloggt und durchläuft den "Erstellungsprozess".

Nun stellt sich uns natürlich die sicherheitsrelevante Frage:
Welche Daten werden während der Schlüssel und/oder Zertifikatserstellung mit Firefox an Thawte übermittelt ?
Insbesondere: Erhält Thawte in irgendeiner Form von Firefox den "privaten" Schlüssel, oder einen anderen Schlüssel, mit dem -zumindest theoretisch- jemand von Thawte eine an uns verschlüsselte E-Mail entschlüsseln könnte, oder eine E-Mail an unserer Stelle signieren könnte ?

Ist zwar nur eine theoretische Frage, aber doch relevant, wenn es tatsächlich so wäre, daß bei Thawte die Privaten Schlüssel von Millionen Usern übertragen würden...

Hat jemand da präzise Infos, wie dieser Erstellungsprozess technisch seitens Firefox/Thawte von statten geht ?
Oder weiss jemand wo es Infos gibt ?
(Thawte hüllt sich da nämlich in Schweigen, mit dem Hinweis, die E-Mail Zertifikate seien kostenlos und der Support daher sehr beschränkt...)

Immerhin handelt es sich bei diesen digitalen Signaturen / Zertifikaten um Sicherheitsmaßnahmen, von denen man explizit deren Erstellungs- und Funktionsweise kennen sollte.
Die Firefox Programmierer werden dies vermutlich wissen, daher hoffe ich hier auf aufklärende und präzise ANtworten, die bestimmt viele Anwender interessieren...

Vielen Dank für evtl. ANtowrten und eine rege Diskussion