1:HTTP 2.0: Explain the new features introduced by HTTP 2.0?

● Multiplexing
○ multiple requests over the same TCP connection
● Request Pipelining
● Header Compression
● Protocol negotiation mechanism — protocol electing, eg. HTTP/1.1, HTTP/2
or other

Wie 1.1, aber Daten nicht Text, sondern Binär

Nur mehr eine TCP Verbindung Requests als Stream übertragen (mit unterschiedlichen
Prioritäten)
Server-initiierte Datenübertragung (Server-Push)

2. TLS: Explain how Certificate Pinning works and why it is needed?

● Ein certificate wird ausgestellt und unterschrieben von zertifizierten Agenten
(CA = Certificate Agent), das Zertifikat wird dann im storage vom PC
gespeichert unter “Zertifikate denen man vertraut” bzw man vertraut denen
die es unterschrieben haben. Certificate Pinning lässt diesen ganzen vorgang
aus und sagt das der PC nur einem einzigen Zertifikat vertrauen soll oder nur
Zertifikaten die von dieser CA unterschrieben worden sind.

3. TLS: Explain the Perfect Forward Secrecy (PFS) concept for TLS. Explain why the
cipher suite ​TLS_RSA_WITH_AES_128*GCM_SHA256​ "has"/"does not have" the pFS
property.

PFS bedeutet, dass die verwendeten ​Sitzungsschlüssel​ nach der Beendigung der Sitzung
nicht mehr aus den geheimen Langzeitschlüsseln rekonstruiert werden können.

1. Key Exchange: TLS

2. Authentication: RSA
3. Bulk Cipher: Uses AES128 Bit Encryption in Gallious Counter Mode
4. MAC: SHA256

Ja denn es wird mittels einen asymmetrischen Master Key ein verschlüsselter neuer
symmetrischer Session Key ausgetauscht, bei jeder Sitzung. Und auch wenn der Session
Key der aktuellen Kommunikation abgefangen wurde, hilft dies bei der nächsten Sitzung
nichts.
4. TGP/IP suite: Explain congestion control within the TCP protocol. Keep the
following details in mind: .
● How does TCP recognize that the network is congested? .
● How does the congestion control method work? .
● How is it related to congestion avoidance?
● How does congestion avoidance work in TCp (a short overview is enough)?

Congestion Detection:
TCP erkennt das ein Netzwerk congested ist wenn Pakete verloren gehen bzw. wenn keine
ACKs vom Empfänger kommen. Es gibt eine Explicit Congestion Notification. Dieses
Window wird vom TCP Stack vom Sender gehalten nicht vom Protokoll Header!

Congestion Control:
Es wird ein Fenster eingerichtet um dem Sender zu sagen wie viele Daten er in das
Netzwerk einbringen darf ohne das es crasht. Funktion: Es wird klein angefangen und wenn
durchgehend ACKs vom Empfänger kommen wird das Window vergrößert bis dann weniger
ACKs vom Empfänger kommen und dann wird das Window wieder kleiner gemacht und
tastet sich an die richtige Größe heran um perfekt ausgelastet zu sein.

Congestion Avoidance:
Es gibt einen Slow Start threshold dieser beinhaltet die hälfte der Anzahl von Paketen die
gesendet wurden. Slow start fängt an bei der ersten Verbindung und geht dann nicht bis
zum maximum sondern nur bis zu ssthresh (threshold).

5. IPSEC VPNs: Confidentiality, authenticity and integrity. Give a short explanation for
these properties and describe which of these properties .
● the IPSEC AH protocol offers? .
● the IPSEC ESP protocol offers?
What's the difference between tunnel/transport mode within IPSEC?

Confidentiality: ​Bedeutet, dass niemand zwischen A und B lesen kann.

Authenticity: ​Bedeutet, dass man auch wirklich mit dem kommuniziert mit dem man es
auch wollte.
Integrity: ​Bedeutet, dass niemand die​ ​Informationen zwischen A und B verändern konnte.

● IPSEC AH
○ Authenticity
○ Integrity
● IPSEC ESP
○ Authenticity
○ Integrity
○ Confidentiality

Im Transportmodus werden 2 Endpunkte direkt miteinander verbunden, im Tunnelmodus

hingegen werden 2 IP-Netze miteinander verbunden. (Router oder VPN-gateway).
6. To communicate with a web application various methods are available: Explain the
evolution of the following methods, and especially their properties in relation to
overhead and the possibility to push data to the client.
● AJAX
● Long Polling
● Web Sockets

Ajax
Asynchronous Javascript und XML, bezeichnet ein Konzept der asynchronen
Datenübertragung von Browser und Server. Dies ermöglicht das laden von Änderungen auf
der Webseite ohne die ganze Seite neu zu laden.

Long Polling (Comet Polling)

Comet ist eine Web Applikation die es ermöglicht das der Web-Server Daten zum Browser
pusht ohne das dieser sie explicit requested, über lang gehaltene HTTPS requests.

Web Sockets
Web Socket ist ein TCP basiertes Netzwerkprotokoll das es ermöglicht eine bidirektionale
Verbindung zwischen Webanwendung und Server herzustellen. Gegenüber normalen HTTP
Verfahren muss der Client nicht immer eine neue Request senden für eine neue Verbindung
sondern der Client erstellt einmal eine Verbindung und öffnet diese für den Server. Der
Server kann jetzt dauerhaft Daten senden ohne das der Client Explicit eine Anfrage stellen
muss.

7. TCP/IP suite: How does MTU-Path-Discovery work? Why do we need it? Why is it
important in lpv6?

Maximum Transmission Unit. Dies definiert die Maximale anzahl an Bytes die im data link
layer übertragen werden können.

Zuerst wird ein IP-paket mit DF-Bit versendet. Wenn auf dem weg nun ein Gerät mit
kleineren MTU aufkommt, lässt er das Paket fallen und sendet eine ICMP “Fragmentation
Needed” Nachricht zurück. Das wird solang wiederholt bis man am Ziel angelangt ist.

In IPV6 darf man keine Pakete fragmentieren, deshalb ist ein Algorithmus zur Verhinderung
der Fragmentierung sehr wichtig.
8. TCP/lP suite: To which protocol does the following header belong?
Explain the fields
-Version
-ldentification
-Fragment Offset
-Time to Live
-Protocol
-Source/Destination Address (size?)
-Header checksum (what's the difference to the next version of the
shown protocol Header?)

IPv4 Header.
● Version
○ Protokollversion zB. IPv4, IPv6
● Identification
○ Wird verwendet um einzelne Fragmente eines IP Datagramms eindeutig zu
Identifizieren
● Fragment Offset
○ Wird gemessen in 8 Byte Blöcken. zeig den offset relativ zum originalen
unfragmentieren Datagramm.
● TTL
○ Oder auch Hop Count, zeig die Lifetime eines Paketes an, bei jeden router an
dem das Paket vorbeigeht, wird die TTL um 1 verringert. Ist sie 0 wird das
Paket verworfen.
● Protocol
○ Definiert das Protokoll das in diesen IP Datagramm verwendet wird.
● Source/Destination IP
○ 32 Bit groß
● Header Checksum
○ Wird in IPv6 nicht mehr genutzt.
9. HTTP: Explain 4 HTTP request types of your choice.

GET:
Wird verwendet um vom Server Daten zu holen über die URI. Nimmt aber keine Änderung
an den bezogenen Daten vor.

HEAD:
Gleich wie GET aber bekommt nur die Status line und den Header.

POST:
Wird verwendet um zum Server Daten zu senden.

CONNECT:
Erstellt einen Tunnel zum Server über die URI.

10. HTTP: Explain JSONP.

● Why is it used?
● How does it work?
● What are its problems?
● Shortly describe another method of your choice that could be used instead of
JSONP

Why is it used?
Manchmal ist man auf einer Domain example.com und muss auf die Domain example.net
um das zu tun muss man Domain boundries überschreiten was nicht gern gesehen wird. Um
dies zu umgehen wird der <script> tag genutzt.

How does it work?

Aus dem script tag wird geladen und der Server wrapt dann die response so zusammen das
der Client sie verarbeiten kann.

What are its problems?

Es hat einige Sicherheitslücken, durch den Script Tag alleine können beliebige Inhalte (nicht
nur JSON Objekte) vom Server übermittelt werden. zB ​Rosetta Flash ​das bekannte Problem
mit dem Adobe Flash Player.

Alternative to JSONP?
Heutzutage wird jedoch CORS über JSONP empfohlen. Bevor man mit CORS einen “Cross
Domain”Request macht überprüft es ob es sicher ist, dies auszuführen, es ist flexibler und
sicherer als JSONP.
1.HTTP: Explain the Content Security Policy (CSP). Why do we need it? How is it
related to other mechanisms like the Same-Origin-Policy (SOP) or
Cross-Origin-Resource-Sharing (CORS)?

CSP:
Das Content Security Policy ist ein vom Server eingerichtetes Headerfield das den Client
sagt welche Ressourcen der Client laden darf. SOP enabled den script tag aus dem dann
Injection Attacks entstehen, aber CSP kann das Laden von Images oder scripts verhindern.

SOP:
SOP selbst ist ein ​Sicherheitskonzept​, das ​clientseitigen Skriptsprachen​ wie ​JavaScript​ und
ActionScript​, aber auch ​Cascading Style Sheets​ untersagt, auf Objekte zuzugreifen, die von
einer anderen Webseite stammen oder deren Speicherort nicht der Origin entspricht.

CORS:
Durch die von SOP auferlegten restriktionen ist es nicht möglich auf andere webseiten einer
abweichenden Domain zuzugreifen. Durch CORS wird ein Kompromiss gemacht das dies
für Flexibilität möglich ist und großen Sicherheitsmaßnahmen. Wenn ein Domainswitch
gemacht werden soll sendet der Server den Header mit den gespeicherten Domains auf die
ein Domainswitch möglich ist und erlaubt damit den Zugriff.

2. TLS: HTTP Strict Transport Security (HSTS) is a rather new method that offers
additional protection for TLS-based communication.
● How does it work?
● Which problems does it address?
● why do browsers already come with pre-loaded HSTS-enabled host lists?

Der Server sendet einen “Strict Transport Security” Header mit der Response, dieser
definiert einen “max-age” Zeitraum. Für diese Zeit nimmt der Client dann ausschließlich
verschlüsselte Verbindung von dieser Domain an.

Es verhindert somit, dass eine Downgrade Attacke durchgeführt werden kann, da der
Browser von dieser Website nur HTTPS verbindungen akzeptiert.

Die pre-loaded HSTS list hat den Sinn, dass auch wenn man zum ersten mal mit diesem
Server kommuniziert, auch da HTTPS garantiert werden kann, weil schon im vorhinein die
HSTS Flag gesetzt wurde.
4. TGP/lP: Explain how flow control works within the TCp/lp protocol suite:
● Which purpose does flow control have?
● Which protocol is responsible for flow control?
● How does it work?
● What's the difference to congestion control?

Der Flow-Control von TCP zielt im Gegensatz zur Congestion control auf die jeweiligen
Receive/Send buffer ab und nicht auf die jeweiligen Netzwerkknoten. Das bedeutet, dass
nach jedem ACK die restliche Buffergröße des Empfängers mitgesendet wird. Dadurch kann
der Sender anpassen wieviele Bytes er senden kann ohne Bufferoverflow.

5.Session lDs: What's the problem of the REFERER header when using URL rewriting
for session handling in HTTP? Explain some other problems associated with uRL
rewriting.

Referer-Spoofing direkt bei der HTTP request wird eine falsche Referenz mitgegeben von
welchem Link weitergeleitet wurde dadurch bekommt man Zugriff auf den Server unter
verschleierung des Ursprungs der Anfrage.

7. HTTP: Explain Cross-Origin-Resource-Sharing (CORS):

● Why do we need it?
● How does it deal with the limitations of the Same-Origin-policy?
● Can we transmit cookies to CORS enabled hosts?
● Shortly describe another method of your choice that could be used instead of
CORS.

CORS:
Durch die von SOP auferlegten restriktionen ist es nicht möglich auf andere webseiten einer
abweichenden Domain zuzugreifen. Durch CORS wird ein Kompromiss gemacht das dies
für Flexibilität möglich ist und großen Sicherheitsmaßnahmen. Wenn ein Domainswitch
gemacht werden soll sendet der Server den Header mit den gespeicherten Domains auf die
ein Domainswitch möglich ist und erlaubt damit den Zugriff.
Cookies mit CORS gehen nicht.

Andere methode lautet JSONP, die aber nur GET requests unterstützt und nicht so sicher
ist.
8.To which protocol does the following header belong? Explain the fields
● Source/Destination Port
● Sequence Number
● Acknowledgement Number
● Flags: ACK, SYN, FlN, RST
● Window size

Das ist ein TCP Header.

● Source/Destination Port
○ Ziel bzw Quell Port der TCP Anwendungen.
● Sequence Number
○ Nummerierung der Einzelnen TCP Pakete zur Identifizierung
● Acknowledgement Number
○ Antwortnummer (vom Empfänger) zur überprüfung ob das richtige Paket zur
richtigen Zeit ankam
● Flags: ACK, SYN, FlN, RST
○ ACK
■ Das ACK-Flag bestätigt eine gültige Quittungsnummer.
○ SYN
■ Indiziert dass der Server auch eine TCP verbindung will
○ FIN
■ Das FIN-Flag bestätigt, dass keine weiteren Daten mehr folgen
werden.
○ RST
■ Das RST-Flag zeigt an, dass der Sender die Verbindung abbauen will
● Window size
○ Sagt wieviele bytes empfangen werden können vor dem ACK