Bei dieser Namensähnlichkeit, muss man fast so ein Banner machen :)

TU Wien:Introduction to Security VU (Maffei)/Prüfung 2019-06-04

Aus VoWi
Zur Navigation springen Zur Suche springen

16 Fragen zu je einem Punkt Entweder alles richtig beantwortet von einer Frage -> 1 Punkt oder 0 Punkte (Wurde aus dem Gedächtnis rekonstruiert, also keine Gewähr auf Richtigkeit)

C Code[Bearbeiten | Quelltext bearbeiten]

void func(const char* arg) {
	char buffer[42];
	if (length(arg) <= 42) {
		strcpy(buffer, arg);
	}
}
  1. Es kann Saved Frame überschrieben werden
  2. Es kann Return Pointer überschrieben
  3. Wegen dem length-check kann kein Overflow
  4. Es kann strncpy statt dem length check verwendet werden

Address Layout Randomization[Bearbeiten | Quelltext bearbeiten]

  1. Ist strikt besser als DEP
  2. Randomized memory layout
  3. Mit Kenntnis über Adressen von lokalen Variablen kann es umgangen werden
  4. Verhindert immer Buffer Overflow

PHP-Code[Bearbeiten | Quelltext bearbeiten]

<html> Argument ist: <?php echo $_GET[argument] ?> </html>

  1. CSRF möglich
  2. XSS Attack und Server sieht das Attack-Skript
  3. XSS Attack und Server sieht das Attack-Skript nicht
  4. Exploit nicht möglich

Cryptographic Protocol[Bearbeiten | Quelltext bearbeiten]

A <------------A,B,n-------------  B
  ----enc(m,sig(m,n;sk_A);pk_B)-->
  1. injective agreement von A zu B
  2. non injective agreement
  3. gar kein agreement
  4. confidentiality von m

ECB[Bearbeiten | Quelltext bearbeiten]

  1. plaintext patterns sind sichtbar
  2. paralleles verschlüsseln möglich
  3. paralleles entschlüsseln möglich
  4. random access möglich

Cookies[Bearbeiten | Quelltext bearbeiten]

Cookie 1
name=uid value=1 domain=tuwien.ac.at secure=false

Cookie 2
name=sid value=2 domain=secpriv.tuwien.ac.at secure=false

Bei Zugriff auf https://tuwien.ac.at werden welche Cookies gesendet?

  1. Cookie 1
  2. Cookie 2
  3. Beide
  4. Keine

Welches Konzept erlauben das nur authorisierte Personen auf Daten schreiben können?[Bearbeiten | Quelltext bearbeiten]

  1. Accountability
  2. Availability
  3. Integrity
  4. Confidentialty
  5. Accessibility

Der El-Gamal Beweis[Bearbeiten | Quelltext bearbeiten]

  1. Es wird angenommen das einen DDH Adversary gibt, dann ist auch EL-Gamal broken
  2. Es wird angenommen das El-Gamal broken ist, dann ist auch DDH broken
  3. Beim Beweis geht es darum das (g^x,g^y,g^xy) und (g^x,g^y,g^r) ununterscheidbar sind
  4. Beim Beweis geht es darum das (g^x,g^y,g^xy) und (g^x,g^y,g^(x+y)) ununterscheidbar sind

Textbook RSA[Bearbeiten | Quelltext bearbeiten]

  1. Textbook RSA ist korrekt
  2. Textbook RSA ist CPA-secure
  3. Es kann ein kleines e verwendet werden ohne Sicherheitseinbuße
  4. Es kann ein kleines d verwendet werden ohne Sicherheitseinbuße

ACL und Capabilites[Bearbeiten | Quelltext bearbeiten]

  1. Es gibt einen reference Monitor der jeden Access überprüft
  2. ACL sind objekt-centered, Capabilites subject-centerd
  3. ACL sind subject-centered, Capabilites objekt-centerd
  4. Es können nur Capabilites vererbt werden
  5. Es ist leichter ACL zu revoken

CSRF[Bearbeiten | Quelltext bearbeiten]

  1. Kann mit secret token in Forms verhindert werden
  2. Kann mit Referrer header verhindert werden
  3. Kann mit Custom Http-Header verhindert werden
  4. Kann verhindert werden wenn beim Cookie das secure und httpOnly Flag gesetzt werden

XSS[Bearbeiten | Quelltext bearbeiten]

  1. HttpOnly Cookies können nicht ausgelesen werden bei XSS attack
  2. HTTPS verhindert XSS
  3. <script> filtern verhindert XSS

Eine collision-resitant Hash Function[Bearbeiten | Quelltext bearbeiten]

  1. Bildet auf gleiche Länge ab
  2. Bildet auf variable Länge ab
  3. Es ist infeasible zwei plaintexts mit gleichen hash zu finden
  4. User mit gleichem Password werden auf untertschiedliche hashes abgebildet

One Time Pad. Was wird geleakt wenn zwei messages mit gleiche Key verschlüsselt werden[Bearbeiten | Quelltext bearbeiten]

  1. m1 ⊕ m2
  2. der key
  3. m1 ⊕ m2 ⊕ key
  4. gar nichts

Stack Canaries[Bearbeiten | Quelltext bearbeiten]

  1. Werden erst bei function return geprüft
  2. Verhindern ein überschreiben der Rücksprungadresse
  3. Haben keinen Performance Impact
  4. Zum Aktivieren muss recompiled werden

Was wird bei SOP für DOM überprüft[Bearbeiten | Quelltext bearbeiten]

  1. Protocol
  2. Domain
  3. Port
  4. Path
Abgerufen von „https://vowi.fsinf.at/index.php?title=TU_Wien:Introduction_to_Security_VU_(Maffei)/Prüfung_2019-06-04&oldid=135529“