ubuntuusers.de

Mooi'n, Ich habe neulich Kubuntu 26.04 installiert. Die Root-Partition ist also komplett neu, meiner User-Partition ist aber noch die vom 20.04. Viele Dinge muß ich jetzt neu einrichten, das ist aber OK so. Was partout nicht gelingen will ist thunderbird (snap) mit meinem Yubikey zu verwenden.

Ich habe reichlich Pakete für GPG installiert:

1

wget gnupg2 gnupg-agent dirmngr cryptsetup scdaemon pcscd ubikey-personalization yubikey-manager pcsc-tools

Eine neue UDEV-Regel für den Yubikey angelegt, weil sonst kein Zugriff möglich war, sie enthält u.a.:

1

KERNEL=="hidraw*", SUBSYSTEM=="hidraw", ATTRS{idVendor}=="1050", ATTRS{idProduct}=="0113|0114|0115|0116|0120|0121|0200|0402|0403|0406|0407|0410", TAG+="uaccess", GROUP="plugdev", MODE="0660"

Den pcscd enable-t:

1

systemctl enable --now pcscd

Der Key wird dann auch erkannt:

pcsc_scan
PC/SC device scanner
V 1.7.4 (c) 2001-2026, Ludovic Rousseau <ludovic.rousseau@free.fr>
Using reader plug'n play mechanism
Scanning present readers...
0: Yubico YubiKey OTP+FIDO+CCID 00 00
:
Possibly identified card (using /usr/share/pcsc/smartcard_list.txt):
xx xx xx xx ... xx xx xx
        Yubico YubiKey 5 NFC (PKI)
        https://www.yubico.com/product/yubikey-5-nfc

Ich habe snap-Verbindungen für TB hinzugefügt:

1
2
3

snap connect thunderbird:u2f-devices
snap connect thunderbird:pcscd
snap connect thunderbird:gpg-keys :gpg-keys

und TB ekennt zwar meinen Yubikey:

Edit -> Account Settings -> End-To-End Encryption
(*) 0x....
(External GnuPG Key)

, will aber eine verschlüsselte Mail nicht entschlüsseln:

The secret key that is required to decrypt this message is not available

Auch wenn ich versuche, eine Mail zu signieren, kommt ganz kurz ein Popup, daß TB die Mail nicht signieren kann und das war's.

BTW Das hatte unter 20.06 noch funktioniert, definitiv!

Was fehlt mir hier? Josef

>> Snap <<

Sorry, aber damit komme ich jetzt überhaupt nicht weiter! Ja, klar, wie man snaps installiert, entfernt, selber snaps erstellt usw ist ja ganz nett zu wissen, hilft aber nicht wirklich weiter. Ich habe noch mal ein paar connections hergestellt:

snap connect thunderbird:u2f-devices
snap connect thunderbird:gpg-keys

und TB (neu) gestartet, die Fehlermeldung kommt aber immer noch.

Und gpg oder yubi kommt in dem ganzen Artikel nicht vor.

Angsichts der Nutzung von snaps denke ich auch, daß

Dieser Artikel wurde für die folgenden Ubuntu-Versionen getestet:
    Ubuntu 24.04 Noble Numbat
    Ubuntu 22.04 Jammy Jellyfish

andeutet, daß 26.04 damit noch nicht getestet wurde. Und der, vielleicht, hilfreiche Artikel https://wiki.ubuntuusers.de/snap/Debugging/ sogar nur

Dieser Artikel wurde für die folgenden Ubuntu-Versionen getestet:
    Ubuntu 22.04 Jammy Jellyfish

Trotzdem Danke,

Josef

Wenn es in Ubuntu 20.04 funktioniert hat, dann liegt das Problem eindeutig an Snap, damals wurde Thunderbird noch traditionell als .deb installiert. Für Snap-Probleme wirst du hier auch wenig Helfer finden, deswegen solltest du überlegen, eine Linux-Distribution ohne Snap zu verwenden, oder Thunderbird traditionell zu installieren. Da gibt es aber etwas zu beachten, was im Wiki-Artikel steht: Thunderbird

Hallo jmoellers, was meine Vorschreiber dir hie dagen wollen, ist dass deine Probleme davon ausgehen, dass SNAP's in sog. "Sandboxen" laufen. Eine Sandbox ist eine eingeschränkte und kontrollierte Umgebung für die Laufzeitanwendung (hier Thunderbird). Diese Laufzeitanwendung kann somit nicht auf alle Ressourchen deines Systems zugreifen, wie eben deinen Yubikey.

Abhilfe: statt Thunderbird als SNAP Thunderbird als deb verwenden, besser noch ganz auf SNAP's verzichten. Siehe dazu auch: snap/snapd deinstallieren

Dafür, ganz auf SNAP's zu verzichten, gibt es aktuell auch einen weiteren sehr guten Grund: CVE-2026-8933.

Diese Snap Sicherheitslücke ist aber schon längst geschlossen worden:

• https://ubuntu.com/security/notices/USN-8579-1

Dennoch kann Snap auch ein falsches Gefühl von Sicherheit bringen, denn es wurden im Snapsladen schon mehr als einmal schädlcihe Snaps platziert.

Das Thunderbird Snap war aber nicht betroffen. Das Thunderbird Snap wird durch Canonical dort im Snapsladen veröffentlicht.

Der Thunderbird Sourcecode kommmt natürlich von Mozilla. Von Mozilla selbst kann man auch direkt den Thunderbird beziehen, ohne Snap.

• https://www.thunderbird.net/de/

Weitere Möglichkeit, aber den Thread auch zuvor komplett lesen:

• Thunderbird-Stable die stabile Normalversion direkt von Mozilla ohne Snap installieren

Dass die Sicherheitslücke bereits geschlossen wurde, steht ja auch im von mir verlinkten Beitrag zu dieser.

Grundsätzlich bleibt aber der Punkt, dass die (vermeintlichen) Vorteile von SNAP (die sich aus dem Sandboxing ergeben sollen) eben auch mit einigen Nachteilen erkauft werden und das Sandboxing selbst (zumindest in der Vergangenheit) auch nicht so sicher war/ist, wie gern von den Befürwortern suggeriert.

Mooi'n,

Ich habe neulich von 20.04 auf 26.04 aufgerüstet. Am Ende ist es eine komplette Neuinstallation geworden, das ist mir eigentlich auch am Liebsten, da wird man manchen Müll los.

Wo ich aktuell mit kämpfe (und was mir beinahe meinen YubiKey versperrt hätte 🤞) ist, meinen YubiKey unter Thunderbird zu nutzen.

Ich habe dann irgendwann geglaubt, den snap-TB entfernt und den snap-freien TB von ppa:mozillateam/ppa installiert zu haben, aber ich fürchte: einmal snap, immer snap. Also muß ich wohl mit dem snap-TB leben.

Hat jemand einen Tip wie ich den YK unter TB nutzen kann? Ich habe schon alle möglichen connections gemacht:

audio-playback          thunderbird:audio-playback           :audio-playback                 -
browser-support         thunderbird:browser-sandbox          :browser-support                -
content[gnome-46-2404]  thunderbird:gnome-46-2404            gnome-46-2404:gnome-46-2404     -
content[gpu-2404]       thunderbird:gpu-2404                 mesa-2404:gpu-2404              -
content[gtk-3-themes]   thunderbird:gtk-3-themes             gtk-common-themes:gtk-3-themes  -
content[gtk-3-themes]   thunderbird:gtk-3-themes             gtk-theme-breeze:gtk-3-themes   -
content[icon-themes]    thunderbird:icon-themes              gtk-common-themes:icon-themes   -
content[icon-themes]    thunderbird:icon-themes              icon-theme-breeze:icon-themes   -
content[sound-themes]   thunderbird:sound-themes             gtk-common-themes:sound-themes  -
cups-control            thunderbird:cups-control             :cups-control                   -
desktop                 thunderbird:desktop                  :desktop                        -
desktop-legacy          thunderbird:desktop-legacy           :desktop-legacy                 -
gsettings               thunderbird:gsettings                :gsettings                      -
home                    thunderbird:home                     :home                           -
network                 thunderbird:network                  :network                        -
opengl                  thunderbird:opengl                   :opengl                         -
personal-files          thunderbird:dot-thunderbird          :personal-files                 -
removable-media         thunderbird:removable-media          :removable-media                -
system-files            thunderbird:etc-thunderbird          :system-files                   -
system-files            thunderbird:host-usr-share-hunspell  :system-files                   -
u2f-devices             thunderbird:u2f-devices              :u2f-devices                    -
wayland                 thunderbird:wayland                  :wayland                        -
x11                     thunderbird:x11                      :x11                            -

hat aber nic geholfen.

Vielen Danke und einen kühlen Kopf,

Josef

jmoellers schrieb:

Ich habe dann irgendwann geglaubt, den snap-TB entfernt und den snap-freien TB von ppa:mozillateam/ppa installiert zu haben, aber ich fürchte: einmal snap, immer snap.

Nö: snap/snapd deinstallieren. So wirst du snap ganz los.

Du kannst aber auch nur Thinderbird-snap deinstallieren. Dann musst du aber mindestens auch noch das machen, was in obigem Link unter Punkt 10 steht machen. Zitat:

Um dann aber tatsächlich Firefox per APT aus einer anderen Quelle installieren zu können, z.B. Mozilla Team PPA, muss auch noch die Originalquelle gesperrt werden.

Natürlich geht es bei dir nicht um FF sondern Thunderbird. aber das was da für FF steht gilt eben analog auch für TB

Sie Datei /etc/apt/preferences.d/firefox.pref muss dann eben eine Datei /etc/apt/preferences.d/thunderbird.pref sein. Und in dieser das Package: firefox* durch Package: thunderbird* ersetzt werden.

Nachtrag:

beachte auch: Thunderbird/Installation (Abschnitt „PPA“)

Ja, OK, die "thunderbird.pref"-Datei habe ich angelegt und jetzt habe ich erst mal einen snap-freien TB.

Da hoffe ich mit weiter zu kommen.

Danke schon mal,

Josef

Um nochmal auf die Ausgangsfrage zurück zu kommen. Diese bezieht sich ja auf die Verwendung von Yubikey mit Thunderbird (snap).

Mit etwas Arbeitsaufwand scheint auch das möglich zu sein. Nach Änderung der Sprache (englisch statt deutsch) hat mir die von mir präferierte Suchmaschine auch eine für Thunderbird (snap) Erfolg versprechende Lösung ausgespuckt. Gleich der zweite Treffer nach der KI-Antwort war:

Thunderbird snap and external GnuPG

@jmoellers, sollte dein Problem nun gelöst sein, den Beitrag bitte noch auf gelöst setzen.

Ah ... ja ... jetzt ... ja!

Aaalso, der Grund waren wohl irgendwelche leeren Dateien "(80 Hex-Zeichen).key" in ~/.gnupg/private-keys-v1.d!

https://github.com/drduh/YubiKey-Guide?tab=readme-ov-file#notes hat mir folgenden Tip für die Analyse gegeben: Ich habe den gpg-agent gestopt, dann mit

gpg-agent --daemon --no-detach -v -v --debug-level advanced --homedir ~/.gnupg

neu gestartet und

sudo journalctl -f

laufen lassen, der dann sagte:

error reading first byte from '/home/josef/.gnupg/private-keys-v1.d/0F434EB6DF69C116A23E473E1B177341404A31EC.key'

Ich habe dann das komplette Verzeichnis "private-keys-v1.d" aus dem Weg geräumt und neu angelegt:

mv private-keys-v1.d/ Xprivate-keys-v1.d/; mkdir private-keys-v1.d

Und ... siehe da:

Aug 02 14:01:01 firefly gpg-agent[13560]: scdaemon[13560]: detected reader 'Yubico YubiKey OTP+FIDO+CCID 00 00'
Aug 02 14:01:01 firefly gpg-agent[13560]: scdaemon[13560]: detected reader 'Yubico YubiKey OTP+FIDO+CCID 00 00'
Aug 02 14:01:01 firefly gpg-agent[13560]: scdaemon[13560]: DBG: asking for PIN '||Please unlock the card%0A%0A\x1eNumber\x1f: XX XXX XXX%0AHolder\x1f: Josef Moellers'

und die verschlüsselte Mail war lesbar!.

Jetzt mal ein Reboot toot goot und mal sehen, ob dann immer noch alles gate.

Wir sehen uns,

Josef

Es geht nach 'nem Reboot immer noch 😌

Ich muß nur daran denken, den YK zu "powercycle-n", also einmal zu ziehen und wieder zu stecken.

Vielen Dank für die Diskussion,

Josef