Mozilla Thunderbird 电子邮件程序中集成的密码管理器显然有点过时，使用 70 年代的加密 (3DES) 来存储具有主密码的密码，尽管已经进行了更改，但速度非常慢（Bug 524403，花了 10 年时间修复/提高安全性,错误 973759，打开）。
有没有一种方法可以连接外部（本地、GNU/Linux、开源）密码管理器而无需求助于插件？
理想情况下，这将是一个众所周知的KeePassXC。
编辑：我的主要威胁模型是一个正在运行的程序（类似于有一个或两个错误的网络浏览器）读取和窃取密码存储文件 - 由于加密较弱，这很容易受到攻击。我的系统具有全盘加密 (FDE)，因此关闭时这不应成为问题。我的网络浏览器实际上无法访问该文件（浏览器周围有一个容器，使用类似消防监狱或者包裹），但还有数十个其他程序未经检查且“不受控制”地运行。
答案1
当然，您可以这样做，特别是如果您愿意重新编译 Thunderbird 本身。但是，我必须问您的威胁模型是什么？您想通过使用不同的密码管理器来防止什么？
回顾一下：Mozilla Thunderbird 存储了许多秘密（例如电子邮件服务器密码），以便它可以执行诸如获取邮件（您可能想要的操作）之类的操作。这些秘密可以通过主密码。
如果没有它，访问系统的攻击者（当雷鸟未运行时）可以获取您下载/缓存的邮件的副本或安装特洛伊木马，但是 - 假设您使用主密码，并且它足够强大 -无法检索用于访问邮件服务器的机密。
您提出商店正在使用 3DES，这不是最好的可用密码。我同意你的看法。但是，我认为 3DES 对于此处使用的内容来说仍然足够安全（截至 2020 年），即使拥有更高的迭代计数会更好（这是与 3DES 的使用不同的问题）。
至于您所要求的，有几个 Thunderbird 扩展声称可以执行您所要求的操作：
- GNOME 密钥环密码集成
- GNOME 密钥环集成
- 基鸟。使用 KeePass 密码保险箱来管理您的登录凭据。
- 通行证管理器 将集成密码管理器存储替换为zx2c4的通行证
不过，您不想使用附加组件。另一种方法（实际上不需要与 Thunderbird 集成）是将保存密码存储的文件（key4.db、cert9.db...）移动到加密位置（单独的 luks 分区、encfs 安装...） 。您可以使用符号链接将它们指向那里，或者更好的是直接加密整个雷鸟配置文件，从而也保护本地文件。
然而，整个磁盘应该已经被加密（除非机器始终位于安全位置，在那里物理攻击不是问题），因此，为什么要为雷鸟秘密安装单独的加密层呢？
总之，
- 如果威胁是攻击者窃取笔记本电脑或硬盘，加密磁盘可以完全防止这种情况，并且您不需要雷鸟主密码。
- 如果威胁是攻击者在系统运行时访问系统（例如让计算机无人看管）和如果您打开了 Thunderbird，换一家商店也无济于事。我认为许多人倾向于在登录时打开邮件客户端，并（几乎）始终保持打开状态（如果关闭和打开它需要提供另一个密码，则这一点会得到加强）。您需要采用不同的方式进行防御（例如，在离开电台之前锁定电台，在启动屏幕保护程序之前设置短暂的超时）
- 仅当威胁是访问正在运行的系统的攻击者时，这才重要没有打开邮件客户端，在这种情况下，他们仍然可以执行相当多的恶意行为，如上所述（锁定会话可以防止这两种行为）。
因此，我怀疑 Thunderbird 密码存储使用 3DES 的事实并没有真正以明显的方式降低您的安全性。