Title: IN0042_ITSEC / WebSecurity

Front: Was macht das Secure Attribut bei einem Cookie?
Back: Der Cookie wird nur gesendet, wenn die Anfrage über einen sicheren Kanal versendet wird.
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Was macht das HTTPOnly Attribut bei einem Cookie?
Back: Wenn HTTPOnly gesetzt ist, wird der Zugang via ein Client-side Script verwehrt.
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Welche Optionen gibt es beim SameSite Attribut?
Back: - strict
- lax
- none
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Was gilt, wenn SameSite=Strict bei einem Cookie gesetzt ist?
Back: Der Cookie wird nur gesendet, wenn es eine direkte, nutzer-initiierte Anfrage ist (z.B von der Browser URL bar).
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Was gilt, wenn SameSite=Lax bei einem Cookie gesetzt ist?
Back: Cookie wird bei Cross-Site-Anfragen nicht gesendet, außer, die Anfrage erfolgt durch eine "Top-Level-Navigation" und ist eine GET oder HEAD Anfrage. z.B:
- Bei normalen Links von einer externen Site zur Website
Jedoch nicht bei anderen Arten von Cross-Site-Anfragen wie POST-Methoden, Bildern in <img>-Tags oder in AJAX-Requests.
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Was ist die Same-Origin-Policy (SOP)?
Back: Die SOP restriktiert Script-initiierte Anfragen zu dem gleichen Ursprung. Das Triplet aus (Schema, Host, und Port) müssen hierbei Übereinstimmen, damit die Anfrage erfolgreich durchgeführt werden darf.
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Wann greift die Same-Origin-Policy (SOP) nicht?
Back: Bei Nutzer-initiierten Aktionen wie das versenden von Formularen!
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png

Front: Was ist der Unterschied zwischen persistent und reflective XSS?
Back: Bei persistentem XSS wird Schadcode in die Datenbank einer Website eingefügt und bei jedem Aufruf der Seite dargestellt. Bei reflektiertem XSS wird der Code direkt über die URL oder in einem Formular gesendet und sofort ausgeführt.
Title: IN0042_ITSEC::WebSecurity
Other fields (not shown on cards):
Logo: tum_logo.png