Mit Entsetzen habe ich Mozillas Beitrag zur Migration bestehender Schlüssel https://wiki.mozilla.org/Thunderbird:OpenPGP:Migration-From-Enigmail gelesen. Die kopieren doch tatsächlich private Keys in Thunderbird. Dort sind sie - solange Thunderbird geöffnet ist - de facto ungeschützt. Das Master-Passwort, welches sie deshalb dringend empfehlen, ist ja schon für die Grundfunktion (abrufen von Mails) einzugeben.
Soll ich jetzt meinen GPG-Key auch noch auf jedem PC 2x pflegen/synchron halten?
Mail-Verschlüsselung ist ja nur eine von mehreren Anwendungen, die den Key nutzen.
In Debian-Buster existiert eine sorgfältig gepflegte GPG-Infrastruktur, die vom System (für signierte Pakete), von mir für Verschlüsselung einzelner Dateien, zur Authentfizierung auf SSH-Servern und auch Mail genutzt werden.
Mein Key besteht aus einem Master-Key mit 3 Sub-Keys (Signieren, Authentifizieren, Entschlüsseln). Auf dem Laptop nutze ich nur die Sub-Keys auf einem Yubikey (smartcard). Und mit meinem "private key" gehe ich wie überall empfohlen sehr sorgfältig um.
Dazu kann man im Beitrag oben lesen, was alles nicht geht, evertuell irgendwann (oder nie) kommen soll oder nicht erprobt ist - das hat mit Sicherheit rein gar nichts zu tun. Da reifen sogar Bananen zuverlässiger :hail:
Dazu gibt's auch im Debian-Forum einen Thread: https://debianforum.de/forum/viewtopic.php?f=29&t=178481. Meine GPG-Schlüssel traue ich dem garantiert nicht an - Tchüss Thunderbird, Hello Claws-Mail.