Thunderbird 115 SupernovaでOpenPGPメール暗号化を設定する方法

Thunderbirdに内蔵されているOpenPGPを使用すると、メールを暗号化して、対応する秘密鍵を持つ受信者のみが保護されたコンテンツを読み取れるようにすることができます。Thunderbird 115 Supernovaでは、アカウント設定→エンドツーエンド暗号化で個人鍵を設定し、各受信者の公開鍵を取得して検証し、送信前にメッセージのセキュリティ設定で暗号化を有効にしてください。

バージョンに関する注記： Thunderbird 115 は現在、旧バージョンとなっています。Mozilla のリリースノートでは、2024 年 12 月 11 日にリリースされた Thunderbird 115.18.0 ESR が Thunderbird 115 の最終リリースであるとされています。機密性の高いメールを扱う場合は、現在サポートされている Thunderbird バージョンをインストールし、最新のセキュリティ アップデートを適用してください。以下のワークフローは Thunderbird 115 Supernova インターフェイス向けに記述されています。新しいリリースでは、一部のラベルが異なる場合があります。

OpenPGPは何を保護してくれるのか、そして最初に何が必要なのか？

OpenPGPは鍵ペアを使用します。公開鍵は共有することで、他の人があなた宛てのメッセージを暗号化できるようになります。秘密鍵はあなたが管理し、暗号化されたメッセージを復号化するために使用します。暗号化されたメールを誰かに送信するには、相手の公開鍵が必要です。受信者は、対応する秘密鍵をメールクライアントに用意しておく必要があります。

エンドツーエンド暗号化は、2者間で設定を行う必要があり、すべてのアドレスで自動的に動作するスイッチではありません。各受信者は、使用可能な承認済みの鍵を持っている必要があり、送信元アカウントのIDに対応する個人鍵も必要です。Thunderbirdでは、受信者の鍵がない場合、暗号化されたメッセージをブロックする可能性があります。Mozillaのエンドツーエンド暗号化に関する説明では、この設定方法と秘密鍵を保護する必要性について解説しています。

始める前に、Thunderbirdで正しいメールアカウントにアクセスできることを確認し、キーのバックアップ用に強力なパスフレーズを選択し、安全なバックアップ場所を計画してください。GnuPGまたは他のメールプログラムに既にOpenPGPキーがある場合は、新しいキーを作成するのではなく、そのキーをインポートするかどうかを決定してください。同じ個人キーを複数のデバイスで再利用すると、各デバイスで暗号化されたメッセージを読むことができますが、そのためには各デバイスにキーを安全にインストールする必要があります。

Thunderbird 115で個人用のOpenPGPキーを作成するにはどうすればよいですか？

1. Thunderbirdのアプリケーションメニューを3本線のボタンで開き、「アカウント設定」を選択してください。アプリケーションメニューバーからも「アカウント設定」にアクセスできます。
2. 左側の列で、使用するメールアカウントまたはIDを選択し、次にエンドツーエンド暗号化を開きます。
3. OpenPGPセクションで、「キーの追加…」を選択します。既存のキーをインポートするのではなく、新しいOpenPGPキーを作成するオプションを選択してください。
4. キーに関連付けられたアカウントアドレスと、ダイアログに表示される有効期限を確認してください。有効期限のあるキーは、後日更新または交換が必要になる場合があります。有効期限のないキーは期限切れの心配はありませんが、キーを保護し、万が一侵害された場合は交換する必要がなくなります。
5. キーを生成するダイアログを確認してください。Thunderbirdがアカウントの個人キーとしてキーを提示したら、それを選択して割り当てを確定してください。

設定で複数のアドレスを意図的に1つのキーに関連付けている場合を除き、固有のIDが必要なメールアドレスごとに個別のキーを使用してください。Mozillaによると、Thunderbirdでは暗号化されたメールを受信したり、署名付きメッセージを送信したりする各アドレスに個人キーが必要です。Mozillaのアカウント設定ガイドには、使用可能なキーが最新で、失効しておらず、対応するアドレスが含まれていることなど、個人キーの要件が記載されています。

秘密鍵を使用する前にバックアップを取っておきましょう。

秘密鍵は、暗号化されたメッセージを読み取るために不可欠です。秘密鍵を紛失した場合、送信者は引き続きあなたの公開鍵で新しいメールを暗号化できますが、あなたはそれを復号化できない可能性があります。アカウント設定で、設定済みの鍵の横にあるメニューを使用して、バックアップまたはエクスポート操作を選択してください。バックアップはコンピュータとは別の安全な場所に保管し、パスフレーズを覚えておいてください。秘密鍵のバックアップを通信相手に送信したり、オンラインで公開したりしないでください。

Thunderbirdのプライバシーとセキュリティ設定で、プライマリパスワードを設定することを検討してください。MozillaのOpenPGP FAQによると、Thunderbirdのプロファイルに保存されている鍵はプライマリパスワードでは保護されません。ロックされていないプロファイルにアクセスできる人は、その鍵を使用できる可能性があります。プライマリパスワードはThunderbirdの起動時に保護を強化しますが、安全なコンピュータログインや保護されたバックアップに取って代わるものではありません。

公開鍵を安全に共有するにはどうすればよいですか？

相手に暗号化されたメールを送信してもらうには、公開鍵を相手に渡してください。メール作成画面で、セキュリティコントロールのメニューを使って公開鍵を添付するか、アカウント設定またはOpenPGPキーマネージャーから鍵の詳細を開いて公開鍵をエクスポートしてください。エクスポートした公開鍵は、添付ファイルとして送信したり、別の方法で共有したりできます。デジタル署名付きメールには、受信者が署名を確認できるように、公開鍵のコピーを含めることもできます。

鍵を信頼する前に、相手にその指紋を確認してもらいましょう。指紋とは、完全な鍵から計算される短い識別子です。電話や対面での会話など、別の手段で指紋を比較してください。名前、メールアドレス、キーサーバーの結果、添付ファイルなどをそれ自体で証明として扱わないでください。誰でも他人の鍵を偽造できるからです。Mozilla はこのリスクについて、「OpenPGP 鍵は本物か偽物か」で説明しています。

受信者のキーをインポートして検証するにはどうすればよいですか？

1. 通信相手に公開鍵を送ってもらうか、信頼できるダウンロード元を教えてもらうよう依頼してください。公開鍵は.asc添付ファイルとして送られてくることが多いです。ThunderbirdのOpenPGPキーマネージャーを使えば、サポートされている方法で公開されている鍵を検出することもできます。
2. 添付ファイルのプロンプトから、または「ツール」→「OpenPGPキーマネージャ」から公開鍵をインポートしてください。メニューバーが表示されていない場合は、アプリケーションメニューを開くか、Thunderbirdのウィンドウオプションからメニューバーを有効にしてください。
3. キーの詳細を開き、そのフィンガープリントを、別の信頼できるチャネルを通じて通信相手から提供されたフィンガープリントと比較してください。
4. 試合終了後にのみ、キーを検証済みまたは承認済みとしてマークしてください。確認メッセージの内容は、キーの状態やThunderbirdのビルドによって異なる場合があります。

リスクの低いテストであれば、未検証の鍵を受け入れることも可能ですが、その違いを理解しておいてください。偽の鍵で暗号化すると、攻撃者はメッセージが保護されているように見せかけながら、その内容にアクセスできてしまう可能性があります。金融、法律、医療、その他の機密性の高い会話については、鍵を受け入れる前に必ずフィンガープリントを検証してください。

Supernovaでメッセージを暗号化するにはどうすればよいですか？

1. 「書き込み」を選択し、作成ウィンドウ上部の「送信元アドレス」を確認してください。これは、個人用OpenPGPキーを設定したIDである必要があります。
2. 受信者を入力し、Thunderbirdが使用可能な公開鍵があるかどうかを確認するまで待ちます。コピーした受信者も含め、すべての受信者に対してこの確認を繰り返してください。
3. 作成ツールバーのメッセージセキュリティコントロールを開きます。Thunderbird 115では、セキュリティコントロールまたはOpenPGPコントロールを使用して暗号化を有効にします。ボタンの表示方法は、ツールバーのカスタマイズやアカウント設定によって異なる場合があります。
4. 送信前にメッセージのセキュリティ状態を確認してください。Thunderbird 115では、OpenPGPメッセージがデフォルトで署名と暗号化を組み合わせたものを使用するように変更されたため、暗号化されたメッセージにもデジタル署名を付けることができます。署名によって、受信者はメッセージが改ざんされていないこと、そして送信者の鍵に対応していることを確認できます。
5. Thunderbirdでキーが見つからない、またはキーが無効であるというエラーが表示された場合は、処理を停止してキーの問題を解決してください。機密性の高い内容のメッセージを送信するためだけに暗号化を無効にしないでください。

Thunderbird 115には、件名を暗号化する設定があるかもしれません。ただし、暗号化を有効にしても、通常のメールには送信者と受信者のアドレスやタイムスタンプなどのルーティング情報が残ります。特定のメッセージのセキュリティオプションを確認し、受信者にどのように表示されるかを確認しない限り、件名に機密情報を記載しないようにしてください。暗号化によってメールがやり取りされたという事実が隠されるわけではありません。

機密メールを送信する前に、設定をテストするにはどうすればよいですか？

同じアカウントIDを使用して、暗号化と署名の両方を有効にした状態で、無害なテストメッセージを自分宛に送信してください。受信トレイでメッセージを開き、Thunderbirdがメッセージを復号化し、署名ステータスを報告することを確認してください。次に、相手に短い暗号化されたテストメッセージを送信してもらい、それを開くことができることを確認してください。テストが成功すれば、鍵とアカウントの設定が正しいことが確認できますが、検証されていない鍵が、その鍵が指定した人物のものであることを証明するものではありません。

保護されたメールを受信すると、Thunderbird はパスフレーズを要求するか、設定済みのキー保護を使用し、復号化された内容をメッセージウィンドウに表示します。メッセージを復号化できない場合は、受信プロファイルに正しい秘密鍵が設定されていること、鍵の有効期限が切れていないか、鍵が失効していないこと、送信者が一致するアドレスと鍵で暗号化していることを確認してください。

OpenPGPが保証しないこと

• 有効な公開鍵を持たない相手には暗号化して送信できません。受信者ごとに、対応する鍵ペアと互換性のあるメールクライアントが必要です。
• 公開鍵の認証は、自動的に公開鍵の真正性を保証するものではありません。偽造鍵のリスクを軽減するため、重要な鍵は帯域外で検証してください。
• これは、侵害されたデバイスを保護するものではありません。マルウェア、盗難されたロック解除済みのコンピュータ、または秘密鍵を入手した人物によって、機密性が損なわれる可能性があります。
• すべてのメールクライアントでメッセージが読み取れるとは限りません。時間的制約のあるやり取りに使用する前に、受信者のクライアントがOpenPGPをサポートしていることを確認し、添付ファイルとメッセージの処理をテストしてください。
• これにより、Thunderbird 115 が最新版またはサポート対象版になるわけではありません。115.18.0 ESR は Thunderbird 115 の最終リリースであるため、継続的なセキュリティ修正を受けるには、現在サポートされているバージョンを使用してください。

公式資料

• Thunderbird 115.18.0 ESR 最終リリースノート
• Thunderbirdにおけるエンドツーエンド暗号化の概要
• エンドツーエンド暗号化用のメールアカウントを設定する
• ThunderbirdでのOpenPGP：使い方とよくある質問
• 偽造OpenPGPキーの見分け方