Software-update: Mozilla Thunderbird 102.7.0

De Mozilla Foundation heeft versie 102.7.0 van Thunderbird uitgebracht. Thunderbird is een opensourceclient voor e-mail en nieuwsgroepen, met features als ondersteuning voor verschillende mail- en newsaccounts, een spamfilter, spellingscontrole en een aanpasbaar uiterlijk. In versie 102 heeft Mozilla onder meer de gebruikersinterface en het adresboek een opfrisbeurt gegeven, is het importeren en exporteren van gebruikersaccounts eenvoudiger gemaakt en is het chatprotocol Matrix toegevoegd. Deze uitgave bevat een probleem met het aanmelden bij Microsoft 365-accounts voor school of werk, dus als je dat gebruikt kun je beter even wachten met bijwerken totdat versie 102.7.1 uitkomt. In deze update zijn de volgende veranderingen en verbeteringen aangebracht:

What’s New

• Enterprise policies now support Thunderbird-specific preferences

Fixes

• Localized builds and langpacks now use "comm-l10n" repository; downstream builds using official langpacks should not need to make changes
• Having too many folders open at startup caused loss of MSF files
• Copying an email from one local folder to another local folder sometimes caused "Another Operation is using the folder" error on Windows 7
• Email address pill allowed for incorrectly formatted email addresses
• Creating security exceptions for messages sent using a self-signed certificate failed if hostname contained uppercase letters
• S/MIME certificate verification was prohibitively slow
• OpenPGP key import failed for key blocks with comments that contain Unicode characters
• Chat conversation sidebar was too wide under certain circumstances, making scrollbar unusable
• On Mac, deleting events from Today Pane with "Backspace" key deleted selected messages instead
• Various security fixes

Known Issues

• OAuth2 authentication not working for Microsoft 365 Enterprise accounts. See the Blog post for additional information. Bug 1810760

Versienummer	102.7.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10, Windows 11
Website	Mozilla Foundation
Download	https://www.thunderbird.net/en-US/thunderbird/all/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (9)

Thunderbird 102.7.0 wordt niet automatisch bijgewerkt vanwege een kritiek authenticatieprobleem met Microsoft 365 Business-accounts. Door het dialoogvenster "Over Mozilla Thunderbird" te openen, is een update naar 102.7.0 mogelijk. Gebruik je een Microsoft 365 Business-account, wacht dan met updaten totdat Thunderbird 102.7.1 is uitgebracht!

Deze dus:
Known Issues
OAuth2 authentication not working for Microsoft 365 Enterprise accounts. See the Blog post for additional information. Bug 1810760
https://blog.thunderbird....ice-365-enterprise-users/

Heb hetzelfde probleem met Postbox.

Microsoft misbruikt OAuth2 voor authenticatie terwijl RFC 6749 eerder een leidraad dan een standaard is voor een autorisatie-protocol.

Dit is pure vendor-lock-in. Microsoft was er dan ook als de kippen bij om de veilige (lange en random gegenereerde) "app passwords" ASAP om zeep te helpen.

David Harris, de auteur van Pegasus Mail beschrijft hier de problematiek voor ontwikkelaars van (niet-Microsoft) e-mail clients.

Niets belet Microsoft om interfaces naar believen te veranderen, zie maar dat je je aanpast en de juiste toegangscodes (GUIDs) van Microsoft koopt.

Edit 21-01-2023, 00:15: link naar Pegasus Mail pagina gecorrigeerd (sorry voor deze suffe fout)

[Reactie gewijzigd door ErikvanStraten op 21 januari 2023 00:15]

David Harris, de auteur van Pegasus Mail beschrijft hier de problematiek voor ontwikkelaars van (niet-Microsoft) e-mail clients.

Die link brengt mij naar gezeur op security.nl over W10 licentiecodes?

[Reactie gewijzigd door willemb2 op 20 januari 2023 23:05]

Mijn excuses, dat was een totaal ongerelateerde link; ik heb deze zojuist gewijzigd in de bedoelde https://www.pmail.com/devnews.htm.

Dank! Ontnuchterend verhaal. Zo jammer dat de IETF nooit een echte standaardisatie organisatie is geworden.

Ik heb het artikel gelezen. Hij overdrijft het OAUT2 verhaal een tikkeltje, door het te beschrijven als een "major step towards large corporations controlling the internet" (wat op zich waar is, maar waar ik dit nu niet echt een lichtend voorbeeld van vind... het is slechts een klein puzzelstukje i.m.o.).

Daarnaast zat ik me - in al mijn naïviteit - af te vragen: moest David Harris deze code dan écht helemaal zelf schrijven? Er zijn toch ook open source OAUTH2 implementaties voor Google (ik denk bijvoorbeeld aan Thunderbird zélf)?

Hoe dan ook, het zijn valide punten die hij maakt, en het is één van de vele redenen om mezelf (privé) wat meer los te weken van Google / Microsoft. Deze bedrijven hebben veel te veel macht, en kunnen in feite doen wat ze willen. (Iets waar gebruikers overigens mede schuldig aan zijn, want we wilden toch alles 'gratis', zoals ook gmail?)

moest David Harris deze code dan écht helemaal zelf schrijven? Er zijn toch ook open source OAUTH2 implementaties voor Google (ik denk bijvoorbeeld aan Thunderbird zélf)?

Als ik het goed begrijp werkte het, als gevolg van een wijziging door Microsoft, ook niet meer voor Thunderbird.

Uit het redactionele stuk hierboven:

Known Issues

• OAuth2 authentication not working for Microsoft 365 Enterprise accounts. See the Blog post for additional information. [...]

Uit die Blog post:

In order to meet Microsoft’s requirements for publisher verification, it was necessary for us to switch to a new Azure application and application ID.

Er is niets mis met de secure versies (TLS-gebruikend) van IMAP, POP3 en (authenticated) SMTP.

Toegegeven, veel mensen gebruiken zwakke wachtwoorden, maar dat probleem zelf los je niet op met Microsoft's OAuth2 implementatie.

Het excuus van Microsoft om beproefde, universele, internetstandaarden om zeep te helpen, is dat inloggen met OAuth2 "veiliger" zou zijn, "want MFA".

Echter, MFA is niet zo ideaal als steevast wordt geroepen en de zwaar door MS gepromote en "strong" genoemde Microsoft Authenticator (hier gelijkgesteld met "Windows Hello", "FIDO2 hardware keys" en "Client certificates") - waar voortdurend aan gesleuteld moet worden en die überhaupt niet beschermt tegen "evil proxy" aanvallen.

Sterker, de meest veilige vorm van authenticeren is, volgens de meeste experts (incl. de USA overheid) met een client certificaat - mits je dan niet tevens (als noodoplossing) op een minder veilige wijze kunt inloggen - want dan kan een AitM (Attacker in the Middle), via een evil proxy, een "downgrade attack" uitvoeren (naast dat er heel veel mis kan gaan bij de uitgifte van client certificaten).

In deze Microsoft pagina (archief), onder "Unsupported scenarios", staat momenteel echter nog:

• Password as an authentication method cannot be disabled and the option to sign in using a password is displayed even with Azure AD CBA method available to the user.

Nb. "CBA" staat voor Certificate Based Authentication.

Oftewel, gebruikers - en dus ook aanvallers - kunnen altijd nog met een wachtwoord inloggen.

Dat Microsoft stopt met open standaarden als IMAPS en SMTPS (en "app passwords") is pure vendor lock-in en bedoeld om klanten weg te trekken bij third-party mail clients waaronder Thunderbird.

[Reactie gewijzigd door ErikvanStraten op 23 januari 2023 12:41]