Fragen? Antworten! Siehe auch: Alternativlos
Gut, das ist jetzt kein schlimmes Problem. Man kann eine PGP-Nachricht erzeugen, bei der die Signatur Verschlüsselung den eigentlichen Inhalt nicht umschließt, der als Plaintext (gut, innerhalb des ASCII Armor) liegt. Diesmal hat das nichts mit MIME-Handling zu tun, das geht auch mit uuencoded old-style PGP-Mail.
Die Auswirkungen sind eher gering. Aber es zeigt, dass man da mal einen blubbernden Sumpf trockenlegen sollte.
Update: Geht nur um Verschlüsselung, nicht um Signatur. Und wenn ihr euch jetzt fragt, wer so blöde wäre, Mails zu verschlüsseln aber nicht zu signieren: FAST FUCKING ALLE. Ich rege mich da seit Jahren drüber auf. Leute, signiert euren Scheiß. Schon rein pragmatisch. Wenn ihr es tut, steht in der Signatur eure PGP-KeyID drin, und mit der kann ich dann den Rückweg verschlüsseln. Wenn ihr mir eine verschlüsselte Mail schickt und die ist nicht signiert und ich habe euren Schlüssel nicht schon, dann kriegt ihr keine Antwort. Warum nehm ich nicht einfach den Schlüssel vom Keyserver? Weil da Leute Bullshit-Keys hochladen, u.a. gibt es für meinen Namen und meine E-Mail-Adresse verschiedene Fake-Keys. Damit kann ein Angreifer nicht viel machen, denn die Mail geht ja immer noch an mich, nicht an ihn. Es ist echt beschämend, dass die Keyserver da überhaupt keine Handhabe für vorsehen. (Danke, Stefan)