Fix Element Web „Fehler beim Entschlüsseln des Ereignisses“ E2EE-Fehler

Beispiel: Maya kann neue verschlüsselte Nachrichten auf ihrem Smartphone lesen. Nach der Anmeldung bei Element Web auf einem neuen Laptop wird jedoch bei mehreren älteren Ereignissen „Entschlüsselung nicht möglich“ angezeigt. Dieser hypothetische Fall verdeutlicht, ob ein Schlüssel im neuen Browser fehlt oder ob der Nachrichtenschlüssel nie mit ihrem Konto geteilt wurde. Diese Unterscheidung ist wichtig, da sich das erste Problem möglicherweise durch Überprüfung der Browsersitzung und Wiederherstellung der Schlüsselsicherung beheben lässt; für das zweite Problem ist unter Umständen ein anderer Teilnehmer oder ein anderes Gerät erforderlich, das tatsächlich über den Schlüssel verfügt.

Was bedeutet „Ereignis konnte nicht entschlüsselt werden“ üblicherweise?

Element empfing ein verschlüsseltes Matrix-Ereignis, konnte es aber mit den verfügbaren Schlüsseln der aktuellen Sitzung nicht entschlüsseln. Der Homeserver speichert den Text nicht in einem Format, das Element durch einfaches Neuladen anzeigen kann. Bei Ende-zu-Ende-Verschlüsselung befindet sich der benötigte Raumschlüssel auf den beteiligten Geräten oder in einer verschlüsselten Schlüsselsicherung. Laut Element unterstützt die Schlüsselspeicherung die Entschlüsselung des Verlaufs auf neuen Geräten, und ein Wiederherstellungsschlüssel kann diese Sicherung entsperren. Häufig gestellte Fragen (FAQ) zu Elements Verschlüsselung und Schlüsselspeicherung finden Sie hier.

Die Meldung kann aus verschiedenen Gründen fehlschlagen: Es handelt sich um eine neue oder nicht verifizierte Browsersitzung ohne Zugriff auf Backup-Schlüssel; ein Schlüssel wurde diesem Gerät nicht zugestellt; ein bestimmtes Ereignis fand vor dem Zeitpunkt statt, zu dem ein Gerät oder Benutzer den Raumschlüssel empfangen konnte; oder lokale Browserdaten oder ein Clientproblem stören die Meldung. Die Fehlermeldung allein gibt nicht Aufschluss über die Ursache. Prüfen Sie zunächst, ob der Fehler ein einzelnes Ereignis, einen älteren Verlauf oder alle verschlüsselten Räume betrifft.

Was sollten Sie überprüfen, bevor Sie die Verschlüsselungseinstellungen ändern?

In Mayas Beispiel öffnet ihr Telefon weiterhin die Konversation. Das ist wichtig: Es könnte sich um eine verifizierte Sitzung handeln, die Schlüssel enthält, die in der neuen Websitzung fehlen. Lassen Sie das Telefon angemeldet und vermeiden Sie es, die kryptografische Identität zurückzusetzen oder die Schlüsselsicherung während der Untersuchung zu löschen.

• Vergleichen Sie die Geräte. Prüfen Sie, ob dasselbe Ereignis auf einem anderen angemeldeten Element-Gerät entschlüsselt werden kann. Falls ja, ist der Schlüssel wahrscheinlich in den Einstellungen für vertrauenswürdige Geräte/Schlüssel des Kontos vorhanden, auch wenn dieser Browser ihn nicht besitzt.
• Prüfen Sie das Muster. Schlägt nur ein älteres Ereignis fehl, fehlt möglicherweise der zugehörige Sitzungsschlüssel oder wurde nie mit diesem Gerät geteilt. Schlagen viele ältere Nachrichten nur in einem neu hinzugefügten Browser fehl, deutet dies eher auf eine Geräteverifizierung oder eine Schlüsselsicherung hin.
• Vergewissern Sie sich, dass Sie im richtigen Konto und auf dem richtigen Homeserver angemeldet sind. Ein anderes Konto, ein anderer Server oder ein anderes Browserprofil kann eine separate Geräteidentität und einen separaten Schlüsselverlauf aufweisen.
• Sichern Sie sich den Zugriff. Melden Sie sich nicht von dem einzigen Gerät ab, das den Raum entschlüsseln kann. Löschen Sie keine Browserdaten, bevor Sie Ihren Wiederherstellungsschlüssel und alle wichtigen Nachrichtenschlüssel-Exporte bestätigt haben.

Diese Prüfungen sind nicht destruktiv. Sie helfen Maya dabei, eine einzelne Schlüssellücke nicht wie eine fehlerhafte Kontosicherung zu behandeln.

Wie stellt man den Zugriff in einer neuen Element Web-Sitzung wieder her?

Element behandelt jede Anmeldesitzung als separates Gerät, selbst wenn zwei Sitzungen denselben physischen Computer verwenden. Eine neue Browsersitzung muss möglicherweise verifiziert werden, bevor sie auf gesicherte Verschlüsselungsschlüssel zugreifen kann. In der aktuellen Web-Anleitung von Element finden Sie die Sitzungsverifizierung im Profilmenü unter „ Alle Einstellungen“ und „Sitzungen“ . Wählen Sie unter „Aktuelle Sitzung“ die Option „Sitzung verifizieren“ . Als Verifizierungsoptionen stehen Ihnen ein anderes Gerät oder ein Wiederherstellungsschlüssel zur Verfügung. Die Menünamen können je nach Version und gehosteter Bereitstellung variieren. Beachten Sie daher die Bezeichnungen Ihrer installierten Version. Weitere Informationen finden Sie im Leitfaden zur Geräteverifizierung von Element .

1. Lassen Sie die bestehende Telefon- oder Desktop-Sitzung geöffnet. Öffnen Sie in Element Web Ihr Profilmenü und gehen Sie zu Alle Einstellungen > Sitzungen .
2. Wählen Sie unter „Aktuelle Sitzung“ die Option „Sitzung überprüfen“ .
3. Wählen Sie gegebenenfalls „Mit einem anderen Gerät verifizieren“ . Akzeptieren Sie die Anfrage auf dem Ihnen bekannten Gerät und vergleichen Sie anschließend die Verifizierungs-Emojis oder -Nummern auf beiden Bildschirmen. Bestätigen Sie erst, wenn sie übereinstimmen.
4. Falls Sie kein anderes verifiziertes Gerät verwenden können, wählen Sie die Option „Wiederherstellungsschlüssel“ und geben Sie den zuvor gespeicherten Schlüssel ein. Der Wiederherstellungsschlüssel ist nicht Ihr Kontopasswort.
5. Lassen Sie Element Web nach der Überprüfung geöffnet und warten Sie, bis die verfügbaren Sicherungsschlüssel abgerufen wurden. Überprüfen Sie anschließend die betroffenen Ereignisse erneut.

Für Maya kann eine erfolgreiche Verifizierung und Schlüsselwiederherstellung dazu führen, dass der gesicherte Verlauf im Browser lesbar ist. Schlüssel, die nie in der Sicherung enthalten waren oder nie mit ihrem Gerät geteilt wurden, können nicht wiederhergestellt werden. Die Dokumentation von Element weist darauf hin, dass die Verifizierung eines neuen Logins die Verbindung zu Cross-Signing und geheimer Speicherung herstellt, sodass auf gesicherte Nachrichtenschlüssel zugegriffen werden kann. Elements Anleitung zur Verifizierung eines neuen Logins

Was tun, wenn man zwar einen Wiederherstellungsschlüssel hat, aber sich nicht sicher ist, ob er funktioniert?

Testen Sie einen Wiederherstellungsschlüssel nicht durch Zurücksetzen des Backups. Element empfiehlt, die Funktionsfähigkeit eines gespeicherten Schlüssels während der Geräteverifizierung in Element Web zu überprüfen. Falls Sie noch ein angemeldetes und verifiziertes Gerät besitzen, erklärt die aktuelle Anleitung von Element, wie Sie den Status des Wiederherstellungsschlüssels unter „ Alle Einstellungen“ > „Verschlüsselung“ prüfen und einen Schlüssel erhalten oder ändern können. Bewahren Sie jeden Ersatzschlüssel sicher auf und stellen Sie sicher, dass der neue Schlüssel akzeptiert wurde, bevor Sie ihn verwenden. Checkliste für Wiederherstellungsschlüssel von Element.

Ein Wiederherstellungsschlüssel schützt den Zugriff auf den verschlüsselten Schlüsselspeicher; er entschlüsselt Inhalte nicht selbstständig, wenn der zugehörige Raumschlüssel nicht gesichert wurde. Wenn Sie noch auf einem Gerät angemeldet sind, das den Raum entschlüsseln kann, halten Sie dieses Gerät bereit, während Sie die offiziellen Anweisungen zum Exportieren oder Sichern für Ihre Element-Version befolgen.

Warum scheitert es immer noch, wenn nur ein einzelnes Ereignis – oder nur sehr alte Geschichte – vorliegt?

Matrix-verschlüsselte Raumnachrichten verwenden Gruppensitzungen, und die Geräte benötigen den entsprechenden Sitzungsschlüssel. Der Matrix-Implementierungsleitfaden beschreibt die Zustellung der Raumschlüssel an die jeweiligen Geräte und erklärt, dass Clients fehlende Schlüssel von anderen Clients anfordern können. Die Schlüsselverteilung unterliegt den Vertrauens- und Freigaberegeln der Geräte; ein Client sollte Schlüssel nicht automatisch an jeden nicht verifizierten Anfragenden senden. Matrix-Implementierungsleitfaden für die Ende-zu-Ende-Verschlüsselung

Es gibt auch legitime Fälle, in denen es zu zeitlichen Abweichungen kommen kann. Beispielsweise hat ein Gerät, das sich nach Beginn einer früheren verschlüsselten Sitzung verbunden hat, möglicherweise nicht den Schlüssel dieser Sitzung erhalten. Laut Matrix-Anleitung erhält ein neu hinzugefügter Benutzer in der Regel den aktuellen Sitzungsstatus für zukünftige Nachrichten; für ältere Nachrichten ist, sofern unterstützt und zulässig, die Freigabe des Verlaufs erforderlich. In Mayas hypothetischem Fall: Wenn ihr Telefon das alte Ereignis entschlüsselt, der verifizierte Browser dies aber nach der Wiederherstellung des Backups immer noch nicht tut, könnte das Telefon die einzige Kopie dieses Raumschlüssels besitzen. Wenn kein Gerät oder Backup ihn enthält, ist er möglicherweise nicht wiederherstellbar.

Wenn Element eine Schlüsselanforderung anzeigt, verwenden Sie diese erst, nachdem Sie geprüft haben, welches Gerät den Zugriff anfordert und – wenn möglich – die Sitzung verifiziert haben. Fragen Sie den Absender oder den Raumadministrator, ob ein vertrauenswürdiges Gerät noch über den Schlüssel verfügt. Genehmigen Sie keine unbekannte Sitzung nur, um den Fehler zu beheben.

Was sollten Sie vermeiden?

• Setzen Sie Ihre digitale Identität nicht als ersten Schritt zur Fehlerbehebung zurück. Element warnt davor, dass das Zurücksetzen ohne aktive Sitzung den Zugriff auf frühere verschlüsselte Nachrichten zerstören kann. Das Zurücksetzen der Identität ist ein letzter Ausweg, wenn kein Wiederherstellungsschlüssel oder verifiziertes Gerät mehr vorhanden ist, und keine routinemäßige Reparatur.
• Löschen oder setzen Sie die Schlüsselsicherung nicht zurück, bevor Sie die Schlüssel gesichert haben. Die Anweisungen von Element zum Zurücksetzen der Sicherung empfehlen, die Schlüssel wiederherzustellen und zu exportieren, bevor die serverseitige Sicherung zurückgesetzt wird. Einige Clients können möglicherweise nicht die vollständige Sicherung exportieren. Prüfen Sie daher zuerst die versionsspezifischen Anweisungen. Vorgehensweise zum Zurücksetzen der Schlüsselsicherung von Element
• Teilen Sie Ihren Wiederherstellungsschlüssel niemals in einem Chat, Support-Ticket oder per Screenshot. Er könnte Ihre verschlüsselte Schlüsselsicherung entsperren. Geben Sie ihn ausschließlich im Rahmen des vorgesehenen Element-Verifizierungsprozesses ein.
• Gehen Sie nicht davon aus, dass das Löschen des Caches fehlende kryptografische Schlüssel repariert. Ein Neuladen kann zwar ein vorübergehendes Anzeigeproblem beheben, aber es kann keinen Schlüssel neu erstellen, den die Sitzung nie erhalten hat.

Die Supportdokumentation von Element weist darauf hin, dass das Zurücksetzen der Cross-Signatur ohne aktive Sitzung den Zugriff auf frühere verschlüsselte Nachrichten unterbrechen kann. Daher lässt Maya ihr Arbeitstelefon angemeldet, während sie den Browser überprüft. Element warnt vor dem Zurücksetzen der Cross-Signatur.

Wann sollten Sie den Homeserver-Administrator oder den Element-Support kontaktieren?

Wenden Sie sich an den Administrator, wenn die Schlüsselsicherung nicht verfügbar ist, die Sicherung einen Fehler meldet, mehrere Benutzer nach einer Servermigration Entschlüsselungsfehler feststellen oder das Problem nach der Wiederherstellung des Homeservers aufgetreten ist. Die Dokumentation zur Serversicherung von Element weist darauf hin, dass der Verlust der Synapse-Datenbank dazu führen kann, dass verschlüsselte Ereignisse als „Nicht entschlüsselbar“ angezeigt werden. Dies ist ein Problem der Serverwiederherstellung und keine Browsereinstellung. Dokumentation zur Sicherung und Wiederherstellung der Element Server Suite

Melden Sie das Problem bitte anhand der Element Web-Version, des Browsers, des Homeservers, ob ein anderes verifiziertes Gerät dasselbe Ereignis entschlüsseln kann und ob die betroffenen Nachrichten aktuell oder älter sind. Senden Sie niemals Nachrichteninhalte oder Wiederherstellungsschlüssel. Falls nur ein Ereignis nicht verfügbar ist und kein Gerät über den zugehörigen Schlüssel verfügt, erklären Sie dies bitte deutlich: Der Support kann zwar Übertragungs- oder Serverprobleme diagnostizieren, aber keinen Ende-zu-Ende-Verschlüsselungsschlüssel ableiten, der auf keinem vertrauenswürdigen Gerät oder in keiner Sicherung vorhanden ist.

Woran erkennt man, ob die Reparatur erfolgreich war?

Kehren Sie zum selben Raum und Ereignis zurück, bei dem der Fehler aufgetreten ist. Prüfen Sie, ob die Browsersitzung als verifiziert angezeigt wird, die Schlüsselsicherung verbunden ist und ob sich mehrere betroffene Ereignisse öffnen lassen, falls das Problem einen Bereich betraf. Überprüfen Sie anschließend eine kürzlich verschlüsselte Nachricht. Wenn neuere Nachrichten funktionieren, ein einzelnes älteres Ereignis jedoch weiterhin nicht verfügbar ist, kann die Browserkonfiguration möglicherweise behoben sein, obwohl der zugehörige Schlüssel für dieses Ereignis noch fehlt.

Für Maya ist das Ergebnis nicht nur nützlich, weil die Fehlermeldung verschwindet. Element Web kann die erwartete Historie entschlüsseln, ihre neue Sitzung wird verifiziert und ihr Wiederherstellungsschlüssel sicher gespeichert. Wenn diese Prüfungen bis auf ein Ereignis, das auf keinem Gerät verfügbar ist, erfolgreich verlaufen, bleiben die bestehenden Sitzungen erhalten und der Absender oder Administrator wird gefragt, ob der Raumschlüssel für dieses Ereignis anderweitig existiert.