如何在 Thunderbird 115 Supernova 中設定 OpenPGP 電子郵件加密

Thunderbird 內建的 OpenPGP 可以加密電子郵件，只有擁有匹配金鑰的收件者才能閱讀其受保護的內容。在 Thunderbird 115 Supernova 中，請在「帳戶設定」→「端對端加密」下設定個人金鑰，取得並驗證每個收件者的公鑰，並在發送郵件前在郵件的安全控制中啟用加密。

版本說明： Thunderbird 115 現已成為舊版本。 Mozilla 的發行說明指出，於 2024 年 12 月 11 日發布的 Thunderbird 115.18.0 ESR 是 Thunderbird 115 的最終版本。對於目前敏感郵件，請安裝目前支援的 Thunderbird 版本並使用其最新的安全性更新。以下工作流程適用於 Thunderbird 115 Supernova 介面；某些標籤在新版本中可能有所不同。

OpenPGP 保護的是什麼？使用前需要準備什麼？

OpenPGP 使用金鑰對。您可以共用您的公鑰，以便其他人可以加密發送給您的郵件。您的私鑰由您自己控制，用於解密這些郵件。要向他人發送加密郵件，您需要對方的公鑰；收件人必須在其郵件用戶端中擁有匹配的私鑰。

端對端加密需要雙方參與，並非一個可以自動套用於所有位址的開關。每個收件者都必須擁有一個可用的、已被接受的金鑰，而您也需要一個與您傳送郵件的帳戶身分相對應的個人金鑰。如果缺少收件者金鑰，Thunderbird 可能會阻止加密郵件的傳送。 Mozilla 的端對端加密入門指南詳細介紹了這種設定以及保護私鑰的必要性。

在開始之前，請確保您已在 Thunderbird 中擁有正確的電子郵件帳戶存取權限，為任何金鑰備份設定強密碼，並規劃安全的備份位置。如果您已經在 GnuPG 或其他郵件程式中擁有 OpenPGP 金鑰，請決定要匯入該金鑰還是建立新金鑰。在不同裝置上重複使用同一個個人金鑰可以讓您在每台裝置上讀取加密郵件，但前提是您必須在每台裝置上安全地安裝該金鑰。

如何在 Thunderbird 115 中建立個人 OpenPGP 金鑰？

1. 使用三條橫線按鈕開啟 Thunderbird 應用程式選單，然後選擇「帳戶設定」。您也可以從應用程式選單列存取「帳戶設定」。
2. 在左側欄中選擇您要使用的電子郵件帳戶或身份，然後開啟端對端加密。
3. 在 OpenPGP 部分，選擇「新增金鑰…」。選擇建立新的 OpenPGP 金鑰而不是匯入現有金鑰的選項。
4. 請檢查與金鑰關聯的帳戶地址以及對話方塊中顯示的到期選項。設定了到期日的密鑰可能需要您日後續訂或更換；沒有到期日期的密鑰雖然可以避免到期，但並不能免除保護密鑰並在密鑰洩露後最終更換密鑰的義務。
5. 確認對話框以產生密鑰。當 Thunderbird 將該金鑰作為帳戶的個人金鑰提供時，選擇它並確認指派。

除非您的設定有意將多個位址與一個金鑰關聯，否則請為每個需要獨立驗證的電子郵件地址使用單獨的金鑰。 Mozilla 指出，Thunderbird 需要為每個用於接收加密郵件或發送簽署郵件的位址指派個人金鑰。 Mozilla帳戶設定指南詳細說明了個人金鑰的要求，包括金鑰必須有效、未撤銷，並且包含符合的位址。

在使用金鑰之前，請務必備份金鑰。

您的私鑰對於閱讀為您加密的郵件至關重要。如果私鑰遺失，寄件者仍可能使用您的公鑰加密新郵件，但您可能無法解密。在「帳戶設定」中，使用已設定金鑰旁的選單選擇備份或匯出操作。將備份檔案儲存在安全且與電腦分開的位置，並記住其密碼。切勿將私鑰備份發送給任何人或將其發佈到網路上。

建議您在 Thunderbird 的隱私和安全設定中設定主密碼。 Mozilla 的 OpenPGP 常見問題解答指出，儲存在 Thunderbird 設定檔中的金鑰不受主密碼保護；任何能夠存取未鎖定設定檔的人都可能使用這些金鑰。主密碼可以在 Thunderbird 啟動時提供額外的保護，但它並不能取代安全的電腦登入或受保護的備份。

如何安全地共享公鑰？

若要允許他人向您發送加密電子郵件，請提供您的公鑰。在郵件撰寫視窗中，使用安全控制選單附加您的公鑰，或從「帳戶設定」或 OpenPGP 金鑰管理員開啟金鑰詳細資訊並匯出公鑰。您可以傳送產生的公鑰附件，或透過其他管道共用。數位簽章電子郵件也可以包含您的公鑰副本，以便收件者驗證您的簽章。

在依賴金鑰之前，請幫助對方驗證其指紋。指紋是根據完整密鑰計算出的簡短標識符。透過其他管道（例如電話或當面交談）比對指紋。不要將姓名、電子郵件地址、金鑰伺服器結果或附件本身作為證據：任何人都可以建立聲稱屬於他人的金鑰。 Mozilla 在《OpenPGP 密鑰可能是真密鑰，也可能是假密鑰》一文中解釋了這種風險。

如何匯入和驗證收件者的金鑰？

1. 請對方發送公鑰或提供已驗證的下載來源。公鑰通常以.asc附件形式發送。 Thunderbird 的 OpenPGP 金鑰管理員也可以使用支援的方法發現一些已發布的金鑰。
2. 從附件提示或透過「工具」→「OpenPGP金鑰管理員」匯入公鑰。如果功能表列已隱藏，請開啟應用程式選單或從Thunderbird的視窗選項中啟用功能表列。
3. 打開密鑰的詳細信息，並將其指紋與您的通訊對象透過單獨的、可信的管道提供的指紋進行比較。
4. 只有在配對成功後，才能將金鑰標記為已驗證或已接受。確認訊息中的特定措詞可能會因金鑰狀態和 Thunderbird 版本而異。

對於低風險測試，您可以選擇接受未經驗證的金鑰，但請務必了解其中的差異：使用虛假金鑰加密可能使攻擊者能夠存取訊息，同時使訊息看起來仍然安全。對於涉及財務、法律、健康或其他機密資訊的對話，請在接受金鑰前驗證金鑰指紋。

如何在 Supernova 中加密訊息？

1. 選擇「寫入」，然後檢查撰寫視窗頂部的「寄件者地址」。它必須是您為其配置了個人 OpenPGP 金鑰的身份。
2. 輸入收件人，然後等待 Thunderbird 檢查是否有可用的公鑰。對每個收件人（包括複製的收件人）重複此檢查。
3. 在撰寫工具列上開啟郵件安全控制。在 Thunderbird 115 中，使用安全性或 OpenPGP 控制啟用加密；按鈕的特定顯示方式可能取決於工具列自訂設定和帳戶配置。
4. 發送郵件前請檢查郵件安全狀態。 Thunderbird 115 已將 OpenPGP 郵件預設啟用簽章和加密結合的方式，因此加密郵件也可以進行數位簽章。簽名有助於收件者確認郵件未被竄改，並且與您的金鑰相符。
5. 如果 Thunderbird 報告金鑰缺失或無效，請停止傳送並解決金鑰問題。若郵件內容敏感，切勿為了傳送郵件而停用加密。

Thunderbird 115 可能提供加密郵件主題的設定。即使啟用此功能，普通郵件仍然包含路由訊息，例如寄件者和收件者的地址以及時間戳記。請檢查特定郵件的安全選項，除非您已確認收件者看到的郵件主題，否則請避免在郵件主題中包含機密資訊。加密並不能隱藏郵件已發送的事實。

如何在發送敏感郵件之前測試設定？

使用相同的帳戶身分給自己發送無害的測試郵件，並啟用加密和簽署功能。在收件匣中開啟該郵件，確認 Thunderbird 能夠解密郵件並報告簽署狀態。然後，請對方發送一封簡短的加密測試郵件，並確認您可以開啟它。成功的測試可以驗證金鑰和帳戶設置，但並不能證明未經驗證的金鑰屬於郵件中指定的收件者。

收到加密郵件時，Thunderbird 可能會要求輸入密碼或使用您設定的金鑰保護，然後在郵件視窗中顯示解密後的內容。如果您無法解密郵件，請確認接收方設定檔擁有正確的金鑰，該金鑰未過期或被撤銷，並且寄件者使用符合的位址和金鑰進行了加密。

OpenPGP 不保證什麼

• 沒有可用的公鑰，郵件就無法加密發送給其他人。每個收件者都需要匹配的金鑰對和相容的郵件用戶端。
• 它不會自動驗證公鑰的真實性。應透過帶外方式驗證重要密鑰，以降低密鑰被偽造的風險。
• 它無法保護已被入侵的設備。惡意軟體、被盜的未鎖定電腦，或有人取得了您的私鑰，都可能破壞您的機密性。
• 它並不能保證所有郵件用戶端都能讀取郵件。在進行緊急郵件往來之前，請確認收件者的用戶端支援 OpenPGP，並測試附件和郵件處理功能。
• 這並不意味著 Thunderbird 115 是最新版本或受支援的版本。由於 115.18.0 ESR 是 Thunderbird 115 的最後一個版本，請使用目前支援的版本以獲得持續的安全性修復。

官方參考資料

• Thunderbird 115.18.0 ESR 最終版本說明
• Thunderbird 端對端加密簡介
• 設定用於端對端加密的電子郵件帳戶
• Thunderbird 中的 OpenPGP：操作方法與常見問題解答
• 如何辨識偽造的 OpenPGP 金鑰