= Datum der Prüfung
10.08.2005
= Benötigte Lernzeit als Empfehlung
ca. 1 Woche
= Verwendete Materialien (Bücher, Skripte etc...)
Folien, WWW
= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Sehr sehr Locker

= Prüfungsfragen
Durfte mir Anfangsthema aussuchen und
habe Grundlagen des Security Engineerings genommen.
Naja danach ging es Querbeet durch den ganzen Stoff.
Manchmal stellt Dr. Müller komischen Fragen (Man würde
einige Sachen die er Nachfragt niemals machen, gesunder
Menschenverstand ...).
Relativ Oberflächlich alles abgehandelt und meist immer am
angewannten Beispiel. Aber mehr Tiefgang von einen selber
aus kann nicht Schaden, dann bekommt man mit Sicherheit eine
eins vor dem Komma.

= Note (Optional)
Leider 2.0 :-(

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Naja die Prüfung war schon sehr entspannt, aber ich habe ein
bisschen den roten Faden verloren und deswegen war es "nur"
eine glatte Zwei. Man kann Dr. Müller wirklich in einer
Prüfung empfehlen. Es war meine Entspannteste Prüfung
überhaupt und ich hatte schon einige Prüfer/ungen.

= Datum der Prüfung
10.08.2005

= Benötigte Lernzeit als Empfehlung
4-5 Tage

= Verwendete Materialien (Bücher, Skripte etc...)
Das Skript ist für das gute Bestehen vollkommen ausreichend.

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Sehr entspannt. Den Beisitzer kannte ich persönlich nicht
(Mitarbeiter des Rechenzentrums).

= Prüfungsfragen
Am Anfang konnte man sich ein Thema wählen. Ich habe es aber
dem Prüfer überlassen.
Los ging es mit den 4 Sicherheitsmodellen (Zugriffsmatrix,
RBAC, Bell-LaPadula und Chinese-Wall). Erläutern mit
Klassifikation, Funktionsweise sowie Vor- und Nachteilen und
schon waren 10 Minuten um.

Als nächstes waren die Grundprinzipien des Security
Engineerings gefragt (Vollständigkeit, Erlaubnis,
Need-to-know, Benutzerakzeptanz). Letzteres auch in der
Praxis (z.B. Umgehung, wenn Sicherheitsaufwand zu gross).

Im anschliessenden Teil ging es um Hashfunktionen, deren
Anforderungen, Unterschied zw. schwachen und starken
Hashfunktionen, Angriffe (preimage, Kollision), Anwendung
(als Signatur)

Jetzt sollte man das Signieren erläutern inkl. Prinzip von
asymmetrischen Verschlüsselungsverfahren. Noch ein kurzer
Abstecher zu PKI und Zertifikaten (keine großen Erklärungen
nur der Zusammenhang)

= Note (Optional)
1.3

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)

Die Bewertung ist fair. Ich kam nur bei 1-2 "komischen"
Zwischenfragen leicht aus dem Tritt.
Wie gesagt, die Prüfung ist sehr entspannt. Wer der
Vorlesung gut folgen konnte, hat keine Probleme.
Mathematische Grundlagen à la "Definieren sie ein
Kryptosystem" werden nicht gefordert, sehr wohl aber
zusammenhängendes Wissen.

= Datum der Prüfung
25.02.2008

= Benötigte Lernzeit als Empfehlung
ca. 1 Woche bei ständiger Anwesenheit in der Vorlesung

= Verwendete Materialien (Bücher, Skripte etc...)
Script und das Buch IT-Sicherheit von C. Eckert (daran ist
die Vorlesung stark angelehnt, man findet in dem Buch noch
einige ergänzende Details/Beispiele)

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Die Atmosphäre war sehr entspannt. Die Prüfung fand in Dr.
Müllers Büro statt. Der Beisitzer war Prof. Redlich, welcher
ab und an auch einige Fragen stellte.

= Prüfungsfragen

Hashing: Wozu? Definition schwache/starke HF.
Angriffsmöglichkeiten? MAC und HMAC erklären.

Digitale Signatur: Wie funktioniert es (am Beispiel von
asymm. Verfahren)? Warum lässt sich das Dokument nicht im
Nachhinein verändern?

Zertifikate: Wozu? Anschließend wurde ein Beispielzertifikat
vorgelegt: Kurz erklären was drinsteht. Was ist zu
überprüfen (Signatur, CRL, ...)?

SSL: Verfahren kurz erklären (Protokoll zur Generierung der
Schlüssel). Warum kein MITM möglich (AW: Name auf Zertifikat
überprüfen)?

Bedrohungen: Einige nennen. Buffer-Overflow genauer
erklären: Wie funktioniert er? Was wird getan? Wie lässt er
sich abwehren?

= Note (Optional)
1,3

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Die Prüfung war sehr angenehm und die Benotung war fair. Es
wurden keine Details von Algorithmen verlangt sondern nur
die "Basics" und die Zusammenhänge. Einige Fragen waren
schon sehr trivial, sodass ich dadurch manchmal fast den
Faden verloren hab. Also nicht zu kompliziert denken!

= Datum der Prüfung
07.04.2008

= Benötigte Lernzeit als Empfehlung
ca. eine Woche

= Verwendete Materialien (Bücher, Skripte etc...)
Script und IT-Sicherheit von Claudia Eckert

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Es war ein sehr angenehmes Prüfungsgespräch, beinahe schon
im Plauderton. Beisitzer war Professor Redlich, der auch
gerade gegen Ende der Prüfung einige Fragen stellte. 

= Prüfungsfragen
1. Drahtlose Netzwerke, welche Besonderheiten gibt es im
Vergleich zu drahtgebundenen Netzen im Hinblick auf die
Sicherheit. Danach durfte ich mir eines der Gebiete WLAN,
Mobilfunk, Bluetooth aussuchen und darüber erzählen.
2. Block- und Stromchiffren, wie funktionieren sie
grundsätzlich, wann wird was verwendet.
3. Wie läuft der SSL Handshake ab?
4. Dann wurde mir ein Zertifikat vorgelegt und Professor
Redlich fragte "Spielen sie jetzt einmal Webbrowser, woran
erkennen sie ob dieses Zertifikat gültig ist?" Nachdem ich
das Stichwort CRL genannt hatte wurde mir die zugehörige CRL
vorgelegt und ich musste noch etwas dazu erzählen.
5. Hashfunktionen, grundsätzliche Funktionsweise,
Eigenschaften, "was für Auswirkungen hat es auf eine
Hashfunktion, falls P = NP ist?".

= Note (Optional)
1,0

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Sehr gute Prüfung, nette Atmosphäre, wenn man etwas vergisst
wird freundlich nachgefragt, kleine Fehler oder
Ungenauigkeiten werden verziehen. Wichtig ist glaube ich,
dass man konkrete Beispiele immer in den zugehörigen Kontext
einordnet und sich immer auf die zugehörigen Schutzziele wie
Vertraulichkeit, Integrität, Authenzität, usw. bezieht.

= Datum der Prüfung
22.7.2008
= Benötigte Lernzeit als Empfehlung

= Verwendete Materialien (Bücher, Skripte etc...)
Das Buch von Frau Eckert enthält einen sehr großen Teil der VL.
= "Atmosphäre" der Prüfung / Verhalten der Beisitzer

= Prüfungsfragen
1. Authentisierung. Welche Faktoren? (3 Stück)
Speziell Biometrie: 
was ist hier wichtig, 
welche Verfahren gibt es, 
welche Bedenken?

2. MAC und Hashfunktionen.
Wofür? Integrität.
Wie funktionieren?

3. Non-Repudiation asymmetrisch.
Z.B. Signierte Diplomarbeit verschicken.
Eine Nachricht wird gehasht, dann mit RSA signiert und mit Signatur verschickt.
Verifizierung.

4. PKI
Zertifikat live gezeigt, Faktoren erkennen und besprechen, Extensions, common name, Signatur des Zertifikats
Dann noch: was, wenn Zertifikat vor Ablaufzeit ungültig wird?
CRL und OCSP
Eine CRL-Datei besprechen. 
= Note (Optional)

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)

= Datum der Prüfung
22.07.08

= Benötigte Lernzeit als Empfehlung
2-3 Tage wenn man schon vorher ein bisschen fit im Thema ist und die Übungsaufgaben gemacht hat.

= Verwendete Materialien (Bücher, Skripte etc...)
 * Folien (nicht immer so super verständlich)
 * Wikipedia (bei diesem Thema echt zu gebrauchen)

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Dr. Müller: Sehr nett, entspannt, eher Plauderton.

Beisitzer Dr. Bell: Ruhig, stellte keine Fragen.

= Prüfungsfragen
 * Welche Arten von Chiffren gibt es (+Erklärung)?: Block vs. Strom, Symetrische vs. Asymetrische
 * Wann würde man welche Chiffren verwenden?
 * Wie baut man eine (symetrische) Stromchiffre?
 * Was bedeutet der Begriff "absolut sicher"?
 * Was ist Entropie?
 * Was sind die Probleme beim Online-Banking über HTTP? (unverschlüsselte Übertragung)
 * Was kann man tun um sie zu lösen?
 * Was ist SSL, wie funktioniert es und wo ordnet man es ein (ISO/OSI-Modell)?
 * Wie läuft ein SSL-Handshake ab?
 * Warum kann ein Angreifer jetzt nicht mithören?
 * Er gibt einem ein ausgedrucktes Zertifikat und man soll es auf Gültigkeit prüfen (Zeitraum, Signatur, CRL). Man bekommt auf Stichwort dann auch die CRL.
 * Kann man SSL auch ohne Zertifikate machen? (Ja: Diffie-Hellman)
 * Wieder Beispiel Online Banking: Wie funktioniert denn das mit den TANs? (erklären des S/KEY-Verfahrens)
 * Welche Attacken kann man gegen dieses Verfahren machen?
 * Wie kann man man-in-the-middle verhindern?

= Note (Optional)
1,3

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Nette Prüfung (hat Spass gemacht). Benotung sehr wohlwollend. Algorithmen wurden nicht abgefragt. Wichtig ist dass man verstanden hat warum was gemacht wird - die Kernpunkte der Verfahren (er meinte dass ich das nicht genug rübergebracht hätte und deswegen "nur" 1,3 bekommen hätte). 

= Datum der Prüfung
15.09.2011
= Benötigte Lernzeit als Empfehlung
2 Wochen
= Verwendete Materialien (Bücher, Skripte etc...)
Vorlesungsfolien (ca. 1100)
Claudia Eckert - IT-Sicherheit
Englische Wikipedia
= \"Atmosphäre\" der Prüfung / Verhalten der Beisitzer
Nette Atmosphäre, Beisitzer hat keine Fragen gestellt.
= Prüfungsfragen
Zuordnung: 
- Zuordnung: Schutzziele <-> Kryptographische Methoden
- Client-Server Verbindung absichern (-> SSL(Handshake) erklärt, woher Vertrauen?)
- SSL-Zertifikat erhalten, auf Gültigkeit prüfen (Stichwort: CRL)
- Biometrie (Anforderungen, Enrollment an selbst gewähltem Beispiel, Probleme, Sicherheitsrisiken, FAR/FRR/EER)  
= Note (Optional)
1.3
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Interessante Vorlesung, Prüfung fair, keine heimtückischen Fragen, viel freie Redezeit. Eher unspezifische Fragen, bei denen man viel sagen kann (d.h. auch viel Richtiges). Wenn man gut gelernt hat, weiß man aber worauf der Prüfer hinaus will.

= Datum der Prüfung
07.08.2013
= Benötigte Lernzeit als Empfehlung
Ich habe 6 Tage gelernt
= Verwendete Materialien (Bücher, Skripte etc...)
Vorlesungsfolien, Wikipedia
= \"Atmosphäre\" der Prüfung / Verhalten der Beisitzer
Angenehme Atmosphäre, lockere Stimmung (mündliche Prüfung)
= Prüfungsfragen
1. Fragen zur bearbeiteten Gruppenaufgabe: Es wurde nach der zeitlichen Entwicklung der Problematik gefragt, wo das Problem in den vorhergegangenen Techniken war und wie das vorgestellte System prinzipiell funktioniert, was die Idee des Konzepts ist. Prinzipiell also Fragen, die überprüfen, ob man verstanden hat, welches Problem durch das untersuchte System gelöst werden soll und wie das System das Problem löst.
2. Fragen zu Verschlüsselung: Was ist symmetrische Verschlüsselung, was ist asymmetrische Verschlüsselung, wie funktionieren die beiden Verschlüsselungsarten und wie unterscheiden sie sich. Welche Modi gibt es bei der symmetrischen Verschlüsselung und wie funktionieren die (grob)? Wo ist der Nachteil der asymmetrischen Verschlüsselung?(Umkehrfunktion evtl. irgendwann berechenbar)
3. Integrität und Authentizität: Welche Maßnahmen sichern Integrität und Authentizität? Wie unterscheiden sich MAC und HMAC? Sollte man beim MAC den geheimen Schlüssel immer vorne an die Nachricht hängen? Warum nicht?
4. Woher kommt das Vertrauen, dass ein öffentlicher Schlüssel tatsächlich zu jemandem gehört? Welche Arten gibt es prinzipiell, das Problem zu lösen und wie funktionieren diese, wo liegen Probleme?
= Note (Optional)
1,0
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Angenehme Prüfung. Wenn man wo nicht weiter wusste, wurde nicht weiter nachgefragt. Die Fragen entwickelten sich teilweise aus dem, was man vorher gesagt hatte, es wurde also nach dem gefragt, wo man sich gut auskannte.

= Datum der Prüfung
07.08.2013

= Benötigte Lernzeit als Empfehlung
ca. eine Woche, wenn man immer da war und aufgepasst hat nicht Vollzeit in dieser Woche (habe Betriebssysteme quasi parallel dazu gelernt)

= Verwendete Materialien (Bücher, Skripte etc...)
Folien aus der Vorlesung

= \"Atmosphäre\" der Prüfung / Verhalten der Beisitzer
Sehr nette Atmosphäre, 0,2l Wasser werden gestellt, insgesamt kann man viel frei reden und damit auch die Vertiefungsthemen ein Stück weit selbst steuern

= Prüfungsfragen
Zuerst wurde die Gruppenaufgabe thematisiert, wobei nur das eigene Thema abgefragt wurde (bei mir ChipTAN). Dabei dann Fragen zu den verschiedenen Techniken der Authentisierung bei Bankgeschäften und deren Bewertung.
Dann ein grober Bedrohungsbaum dazu.
Krypto: Blockchiffren und deren Modi (wie funktionieren sie). 
Gut dabei: Man hat Stift und Papier vor sich liegen, kann wenn benötigt Dinge aufzeichnen.
Stromchiffren, wie funktioniert der Austausch des Seeds für den PRNG, OTP.
Wann verwendet man symmetrische Krypto, wan asymmetrische? Vor/Nachteile?
Darauf aufbauend dann \"Alice möchte eine Datei mit RSA verschlüsseln\" -> erst diese symmetrisch verschlüsseln, den Key dann mit RSA für Bob abspeichern.
Schließlich noch Biometrie, Enrollment durchsprechen, EER, FER, FRR erläutern
Unterschied Identifikation und Verifikation (bei Biometrie)

= Note (Optional)
1

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Gute Prüfung, sehr faire Fragen (war eigentlich alles auf diesem Schwerpunkte-PDF mit drauf)
Dazu kann man wie gesagt bei Fragen sehr frei und auch ausführlich sprechen, Name dropping wird positiv quittiert und wenn man sich im Stoff auskennt ist die Prüfung kein großes Problem. Es reicht einen guten Überblick zu haben, tiefgehende mathematische Details kamen (bei mir) nicht dran.

= Datum der Prüfung
13.8.2013
= Benötigte Lernzeit als Empfehlung
etwa 4 Tage bei regelmäßiger Anwesenheit in der VL und Bearbeitung der Übungsaufgaben
= Verwendete Materialien (Bücher, Skripte etc...)
Wikipedia und die Vorlesung
= \"Atmosphäre\" der Prüfung / Verhalten der Beisitzer
Das Prüfungsgespräch war wirklich ein Gespräch im besten Sinne. Der Beisitzer war freundlich und hat selbst keine Fragen gestellt. Der Prüfende hat viel Freiheit gelassen, die Richtung des Prüfungsgesprächs selbst zu bestimmen.
= Prüfungsfragen
1. Fragen zu Gruppenprojekt, Bezug zu Schutzzielen hergestellt
2. Betriebsmodi von Blockcipher (ECB und CBC): Vor- und Nachteile der jeweiligen Modi
3. Hash und MAC: Reicht ein Hash aus, um die Authentizität eines Downloads festzustellen? (nein, natürlich nicht), dann Schwenk zu MACs
4. Signaturverfahren RSA und DSA kurz angeschnitten. Bei der genauen Funktionsweise von DSA hatte ich leider Mut zur Lücke beim Üben, das fiel aber nicht so stark ins Gewicht.
5. Schlüsselaustausch (ich habe Diffie-Hellmann erklärt). Hier hat sich das genaue Lernen des Austauschprotokolls und der mathematischen Grundlagen gelohnt.
= Note (Optional)
1,3
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Die Prüfung war fair und man hatte viel Freiheit, die Richtung anzugeben. Wenn ich mal nicht sofort weiter wusste, gab es kleine Hilfestellungen.
Die Benotung empfinde ich als fair und angemessen.

= Datum der Prüfung
30.7.14
= Benötigte Lernzeit als Empfehlung
5 Tage
= Verwendete Materialien (Bücher, Skripte etc...)
Folien, ein wenig Wikipedia
= \"Atmosphäre\" der Prüfung / Verhalten der Beisitzer
sehr angenehm, Beisitzer hat keine Fragen gestellt
= Prüfungsfragen
Was war das Thema der Gruppenarbeit? (Steganografie) Was für Schutzziele gibt es generell? Wie wurden diese durch unser Projekt realisiert? (kerckhoff prinzip, sicherheit darf nur von den schlüssel abhängen, nicht vom geheimen steg.-Verfahren)
Sprung zu Sicherheitsmodellen, was gibt es für 2 große Sicherheitsstrategien? (Zugriffskontrolle: Matrix, Rollen; Informationsflusskontrolle: Chinesewall, LaPalua)
Erklären Sie eine Informationskontrollstrategie?
Sprung zur verschlüsselung, was gibt es für symmetrische Verschlüsselungen? (Block, Stromchiffre) Was unterscheidet diese? Wie funtkioniert Stromchiffre? (Schlüsselaustausch, PNGR, xor mit den Pseudozufallszahlen) Was kann schief gehen? (hab erklärt, das wenn gleicher Pseudozufallsstrom immer benutzt wird Probleme entstehen, siehe WEP)
Wie kann man Schlüsselaustausch realisieren? (Public-Key oder Diffie-Hellmann) Wie funktioniert Diffie-Hellman? Was für Eigenschaften müssen gelten? (das wusste ich auch nicht gut, irgendwas mit gruppengenerator g) Kann es dabei Probleme geben? (Ja, keine Authenzität, Man in the Middle möglich) Grob skizzieren wie das aussieht (http://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch), wie kann man prüfen ob es einen Man in the Middle gibt? (etwas kniffelig, die beiden kommunikationspartner dürfen sich anrufen, Idee: Alice sagt Bob das berechnete A und Bob vergleicht mit dem was bei ihm angekommen ist)
Wie funktioniert Blockchiffre? (hab ECB erklärt) Vor und Nachteile? (gleicher Plainblock -> gleicher Chiffreblock, Blöcke können dupliziert, reihenfolge vertauscht werden, trotzdem korrekte entschlüsselung, aber schnell und parralelisierbar) CBC erklären! (hier dann nicht mehr Reihenfolge vertauschbar, dublizieren und löschen führt zu fehlerhafter Entschlüsselung
= Note (Optional)
2.0
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Faire Prüfung, man konnte frei sprechen und ungenaue Aussagen konnte man auf Nachfragen konkretisieren bzw. korrigieren, das mit den Sicherheitsstrategien wusste ich nur so grob, Diffie-Hellmann auch, daher angemessen

= Datum der Prüfung
28.7.2015
= Benötigte Lernzeit als Empfehlung
Bei regelmäßiger Anwesenheit ~1 Woche
= Verwendete Materialien (Bücher, Skripte etc...)
Folien, Wikipedia
= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
mündlich, entspannte Atmo, Beisitzer sagt nichts
= Prüfungsfragen
1. Gruppenthema: Heartbleed -> SSL Ziele/Handshake erklären (ausführlich!), dann Heartbleed erklären
2. Perfect Forward Secrecy erklären, Diffie-Hellman erklären
3. Zertifikat & CRL betrachten und beschreiben (relevante Felder)
4. RSA-PSS erklären
5. Sicherheit in Drahtlosen Netzwerken, Probleme bei WEP (RC4, IV, ...)
= Note (Optional)
1.0
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
sehr gute Vorlesung, sehr faire Prüfung, sehr faire Benotung

= Datum der Prüfung
24.09.2015

= Benötigte Lernzeit als Empfehlung
variiert je nach Lerntyp.
Ich habe ca 4 Wochen benötigt. (Inklusive alle Folien handschriftlich zusammengefasst)
Für andere sicher auch in 2 Wochen machbar.

= Verwendete Materialien (Bücher, Skripte etc...)
Vorlesungsfolien (ca 1000) und Buch Claudia Eckert

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Mündlich. Der Beisitzer hat nichts gesagt. Nette Atmosphäre.
Ich war sehr nervös am Anfang, dass hat sich dadurch sehr schnell gelegt.
Stift und Papier liegen bereit.
Wenn man eine Frage nicht versteht, ist es kein Problem nachzufragen. 

= Prüfungsfragen
1.) Gruppenthema XSS: Was ist es? Wie funktioniert es? Was für Gefahren bringt es? Wie kann man sich dagegen schützen? Gegenmaßnahmen.
2.) Aufbau sichere Kommunikation: SSL/TLS, Handshake erklärt/aufgezeichnet. Verschiedene Fragen dazu.
zB Was ergibt sich aus dem Premaster Secret? Warum kann kein anderer das Premaster Secret bekommen, was passiert wenn doch? Wann kann sich Alice sicher sein mit Bob zu reden und umgekehrt? 
3.) Schlüsselautausch, Diffie-Hellman: Da lohnt es sich die mathematischen Grundlagen gut zu beherschen. 
Warum kann kein Angreifer das Premaster Secret berechnen? (Diskretes Logarithmus Problem) Was ist wenn jetzt jemand (bsp NSA) an einen privaten Schlüssel kommt? Perfect Forward Secrecy erklären. Unterschied, zu wenn man nicht DH benutzt hätte, sondern mit RSA verschlüsselt hätte?
Was hat DH nicht? (Authentizität) Was kann man dagegen machen? (signieren)
4.) Zertifikate & CRL: Zertifikat bekommen, worauf muss man achten, gültig oder nicht? CRL bekommen.
Nun ist die Verbindung aufgebaut, was macht man jetzt?
5.) Asymm./Symm. Verschlüsslung erklärt, Vor-und Nachtteile.
Dann auf symmetrische Verschlüsselung eingegangen, die man ab dort benutzt. Strom- und Blockchiffre erklärt.
6.) Blockchiffre: Was gibt es dort für Möglichkeiten, was macht man wenn ein Block nicht lang genug ist.
Die Blockmodi erklärt, Vor- und Nachteile. Auf Padding eingegangen.

= Note (Optional)
1,0
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Sehr gute, angenehme Prüfung. Faire Benotung.
Es wurden sehr offene Fragen gestellt, bei denen man viel erzählen konnte, auf verschiedenes eingehen könnte.
Bei guter Vorbereitung, weiß man aber eigentlich worauf der Prüfer hinaus will.
Es wird immer auf Dinge eingegangen, die man schon genannt hat. Das führt dazu, dass man über die Themen erzählt oder gefragt wird, in denen man sich am besten auskennt.

= Datum der Prüfung
2.8.2018

= Benötigte Lernzeit als Empfehlung
1 Woche. Habe 3 Tage gelernt.

= Verwendete Materialien (Bücher, Skripte etc...)
Folien, Wikipedia, ein bisschen https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m03/m03023.html

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Wir haben richtig entspannt gequatscht und auch Witze gemacht.
Der Raum war angenehm kühl.
Müller und der Beisitzer waren mega nett und entspannt.
Generell erklärt er viel, auch Sachen wo man denken würde "Das hätte ich jetzt lieber selber gesagt"
Er hat mich nix zu Informationsfluss oder SSL gefragt, wofür ich dankbar war.
Wenn man Namedropped wird darauf eingegangen(!), außer man geiert zu hart.
Sie versuchen nicht Fehler im Wissen zu finden, sondern geben die Chance, zu zeigen, dass man gelernt hat. Wenn man was nicht weiß wird immer geholfen und nicht so stark darauf eingegangen.
Themen die man gut kann (Die Gruppenaufgabe) werden stark behandelt, mit Fragen in die Tiefe.
Man soll nicht nur zeigen, dass man die Kryptoprimitiven der Vorlesung versteht, sondern auch, wann man sie genau einsetzt (im Gegensatz zu Alternativen) und warum, und was ihre Nachteile und Schwachstellen sind. Es geht mehr um Intuition als um Auswendiglernen, aber ein paar Themen sollte man schon sehr tief verstehen. Es ist auch ein bisschen Glück, was man einbringen kann. Wenn man es schafft die Prüfung ein bisschen zu lenken, hat man einen großen Vorteil.

= Prüfungsfragen

Gruppenthema Fuzzing (kannte die Fragen durch meine Gruppenmitglieder schon)
	Wofür braucht man das?
		Funktionssicherheit von Programmen sicherstellen
	Was kann man damit finden?
		alles wo Funktionssicherheit gestört wird, also unspezifiziertes Verhalten (z.B. Buffer-Overflow (haben damit weitergemacht), Crashes, übermäßige Speichernutzung)
	Was, wenn man keine Fehler findet?
		Dann kann es sein, dass es trotzdem noch welche gibt
		Es gibt dumb Fuzzen und smart Fuzzen
			mit dumb Fuzzen verändert man die Binary nicht, aber findet auch nicht so gut Fehler
			mit analysierendem fuzzen injiziert man analysetools mit custom compiler, findet aber vielleicht keine Fehler die z.B. durch raise conditions verursacht wurden, weil sich das original Programm ändert
Buffer overflow
	beispiel Übungsaufgabe von 2011
		fehler im Code finden der Buffer overflow ermöglicht
		sollte mit dem Buffer overflow eine Variable auf dem Stack überschreiben
	Prävention
		gut Programmieren
		Canary/Stack Protector (Sie fanden's echt gut, dass ich dazu viel wusste)
		Adressen Randomisierung (ich hatte mich schon auf Buffer overflow vorbereitet da meine beiden gruppenmitglieder das auch gefragt bekommen haben, hätte aber nicht gedacht, dass er so tiefgehend fragt)
		Wenn man zum Beispiel eigenen code einschleusen will, welche Features verhindern das?
			NX-Bit / XD-Bit (wusste ich nicht)
		Fallen ihnen Programme ein, die das aber brauchen?
			der Linker, valgrind (wusste ich nicht, hätte den Foliensatz zuende lesen sollen)
Kryptoprimitiven Schutzziele zuordnen (hat er auf Papier aufgemalt (das Papier ist richtig ranzig). Ist glaub ich als Einstieg in andere Themen gedacht, was man nutzen sollte, um die Prüfung zu steuern)
	Hash - Integrität
	Mac - Integrität, Authentizität
		MAC muss nicht mit Hashfunktion erstellt worden sein, kann auch per Blockchiffre
		kurz angerissen HMAC, habe Length-Extension-Attack versucht zu sagen, wollte er aber nicht hören
		geMACede Nachrichten sind abstreitbar, weil ich oder der Empfänger geMACed haben kann (hat mir Beispiel gegeben: vor Gericht würde ein MAC nicht funktionieren, weil man nicht sagen kann, ob ich, oder der Richter geMACed hat - ich glaube er mag kleine, blumige Beispiele)
	Signatur - Integrität, Authentizität, Nichtabstreitbarkeit
	Verschlüsselung - (nur) Vertraulichkeit (haben damit weitergemacht)
	Nonce/Zufall
		Replay-Attack (haben wir doch nicht drüber geredet, wäre aber das gewesen ~> SSL/TLS Handshake)
Vorteile von symmetrischer/asymmetrischer Verschlüsselung
	symmetrisch (habe Stromchiffre erklärt (wollte er gar nicht, war aber ok), ein bisschen EBC, CBC - haben damit weitergemacht)
		pro: schnell (kurze Schlüsselängen), viele geheime Schlüssel zu verwalten (bei n Kommunikationspartnern n-1)
	asymmetrisch (habe RSA genannt, nicht wirklich erklärt)
		contra: langsam (große Schlüssellängen), man muss öffentliche Schlüssel authentisch verwalten
CBC
	Wie groß sind die Blockgrößen bei AES256 und RSA2048?
	Was macht man denn, wenn die zu verschlüsselnde Nachricht nicht genau in die Blöcke passt? (padding)
	Wofür braucht man das? (Damit man verschlüsseln kann halt. - Müller: Ja, aber bei manchen Feedback Blockchiffren ist es egal, wie lang der letzte Block ist. Dann war ich dumm und hab gesagt man braucht es auch bei RSA mit kurzen Nachrichten, das heißt dann RSA-PSS - damit haben wir weitergemacht *kopf gegen tisch hau*)
RSA-PSS
	Gegeben Abbildung https://de.wikipedia.org/wiki/Datei:RSASSA-PSS_PSS-encode.png
	Frage: wie kann ich die Integrität der Nachricht prüfen?
	(An dem Punkt waren wir schon über der Zeit. Ich hatte keinen Plan, wollte bei RSA-PSS nur Namedroppen, hab die Abbildung noch nie gesehen und er hat mir richtig viel geholfen, aber zusammen haben wir's geschafft. Er meinte am Ende, das hätte mich auch nicht so sehr von der Note her runtergezogen.)
	Frage äq.: Wie komme ich ans salt, damit ich die nachricht nochmal hashen kann?
		Hash in EM -> MGF
		MGF ^ maskedDB = DB
		Salt ablesen
		M' neu produzieren - mHash mit neuem Salt nochmal hashen
		checken, ob Hash(M') = Hash in EM


= Note (Optional)
1,7

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Prüfung sympathisch, cool and good.
Benotung nett.

= Datum der Prüfung 
Oktober 2018

= Benötigte Lernzeit als Empfehlung
2-3 Wochen, wenn man ohne Lücken lernt.

= Verwendete Materialien (Bücher, Skripte etc...)
Vorlesungsskript, Unterlagen für den gehaltenen Vortrag

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Sehr angenehme, unterstützende Athmospähre.

= Prüfungsfragen
Einstieg war auf das Thema bezogen für das man den Vortrag gehalten hat. Alle weiteren Fragen haben sich dann auf die Konzepte bezogen die in diesem Vortrag eine Rolle spielen.

1. Was ist das Schutzziel von Tor?
2. Wie wird ein Circuit in Tor aufgebaut? 
3. Wie funktioniert ein Hidden Service, wie kann man eine Verbindung dahin aufbauen?
4. Was schützt Tor nicht?

5. Wie läuft ein SSL/TSL Handshake ab und was steht in den jeweiligen Nachrichten (SSL/TSL wird in Tor benutzt)?
6. Ab wann weiß Alice bei dem Handshake, dass sie tatsächlich mit Bob (Server) redet und warum?
7. Wie kommen Alice und Bob an einen gemeinsamen Schlüssel um ihre Kommunikation zu verschlüsseln?
8. Wie läuft so ein Diffie-Hellmann Schlüsselaustausch ab?
9. Wenn sich jemand den geheimen Schlüssel des Servers besorgt (z.b. richterlicher Beschluss), kann derjenige dann die aufgezeichnete Kommunikation entschlüsseln?
10. Was in SSL/TSL verändern, so dass man selbst mit dem geheimen Schlüssel des Servers nicht mehr die Kommunikation im Nachinein entschlüsseln kann?
11. Was ist das Problem beim Diffie-Hellmann Schlüsselaustausch?
12. 
Zusatzfrage: Wie könnte man den DH-Schlüsselaustausch auf 3 Parteien erweitern?

= Note (Optional)
= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Super Prüfung, Herr Müller hilft einem, wenn nötig auf die Sprünge und unterstellt dabei eher vorhandenes als fehlendes Wissen. Es wird gern gesehen, wenn man die Formeln für z.B. DH-Schlüsselaustausch oder RSA kann. Insgesamt entwickeln sich die Fragen vom Groben ins Detail. Also hilft es sehr, wenn man die ganzen Konzepte grob einordnen kann (Welche Schutzziele verfolgt Tor), und dann die dazugehörigen Konzepte darlegt und dabei immer detailierter wird (Wie errechnet sich Alice den gemeinsamen DH-Schlüssel, wo wird der Schlüssel von wem berechnet, Welches Problem gibt es?,etc.).

= Datum der Prüfung
2020-10-27

= Benötigte Lernzeit als Empfehlung
Hab den Vorlesungen zugehört und ein paar gute Videos auf Computerphile geguckt (Mike Pound), die das gut erklären. Ne Woche reicht unter diesem Gesichtspunkt aus

= Verwendete Materialien (Bücher, Skripte etc...)
Folien, Computerphile (Mike Pound)

= "Atmosphäre" der Prüfung / Verhalten der Beisitzer
Wolf Müller ist fetzig. Die Stimmung war großartig, wie in allen anderen Modulen mit ihm. Sehr angenehm, trotz Maskenpflicht und -5°C im Raum

= Prüfungsfragen
Fragen zur Funktionalität von Diffie-Hellman und warum das so funktioniert. Auch ein wenig Fragen zu Restklassen.
Wie können beide Kommunikationspartner danach Schlüssel prüfen, ohne ihn preiszugeben? (Hash senden)
Ist es möglich Diffie-Hellman auf drei Partner zu erweitern? (Ja klar! Powered by Potenzgesetze)

Erklären von RSA in allen Einzelheiten, Erklären von Signaturen
Danach RSA-PSS. Schaut unbedingt diese Folie an! Hab die vorher nie gesehen, aber gemeinsam mit ihm hergeleitet.

= Note (Optional)
1,3

= Fazit (Gute/schlechte Prüfung , angemessene Benotung etc...)
Viele Fragen haben mich verwirrt, aber ich stand auch auf dem Schlauch. Themen die ich nicht kannte wurden gemeinsam hergeleitet. Verdiente Note: 3,0; erhaltene Note: 1,3
Benotung mehr als überfreundlich