Grundlagen von HTTP und HTTPS

HTTP (Hypertext Transfer Protocol) bildet die Grundlage der Webkommunikation. Es legt fest, wie Browser Ressourcen von Servern anfordern und wie Server darauf antworten. HTTP ist zustandslos — jede Anfrage ist unabhängig.

Eine HTTP-Anfrage besteht aus:

• Methode: GET, POST, PUT, DELETE, PATCH, OPTIONS
• URL: der Ressourcenpfad
• Header: Metadaten (Content-Type, Authorization, User-Agent)
• Body: mit POST- oder PUT-Anfragen gesendete Daten

Eine HTTP-Antwort enthält:

• Statuscode: 200 OK, 301 Redirect, 401 Unauthorized, 403 Forbidden, 404 Not Found, 500 Server Error
• Header: Content-Type, Set-Cookie, CORS-Header
• Body: HTML, JSON oder andere Inhalte

HTTP-Methoden und ihre Sicherheitsauswirkungen:

• GET — sollte nur lesend sein; Parameter in der URL werden protokolliert
• POST — sendet Daten im Body; ist nicht automatisch sicher
• PUT/DELETE — müssen durch Authentifizierung geschützt werden
• OPTIONS — gibt zulässige Methoden preis und kann Fehlkonfigurationen offenlegen

HTTPS = HTTP + TLS-Verschlüsselung. Es bietet:

• Verschlüsselung: Daten während der Übertragung werden verschlüsselt (Vertraulichkeit)
• Integrität: Manipulationen werden über MAC erkannt
• Authentifizierung: Die Identität des Servers wird über ein Zertifikat überprüft

Ohne HTTPS sind alle Daten, einschließlich Passwörtern und Sitzungstokens, für Angreifer sichtbar, die den Netzwerkverkehr abhören.

Beim Verbindungsaufbau zu einer HTTPS-Website:

1. Der Client sendet die unterstützten Cipher Suites
2. Der Server sendet das Zertifikat und die ausgewählte Cipher Suite
3. Der Client überprüft das Zertifikat anhand vertrauenswürdiger CAs
4. Der Schlüsselaustausch legt einen gemeinsamen Sitzungsschlüssel fest
5. Die verschlüsselte Kommunikation beginnt

Wichtige Sicherheitsheader in Antworten:

• Strict-Transport-Security (HSTS) — HTTPS erzwingen
• Content-Security-Policy (CSP) — steuern, welche Ressourcen geladen werden
• X-Frame-Options — Clickjacking verhindern
• X-Content-Type-Options — MIME-Sniffing verhindern

HTTP ist zustandslos, daher werden Sitzungen über Cookies verfolgt. Sichere Cookie-Attribute:

• HttpOnly — nicht über JavaScript zugänglich (verhindert XSS-Diebstahl)
• Secure — nur über HTTPS gesendet
• SameSite=Strict/Lax — verhindert CSRF-Angriffe

HTTPS verschlüsselt nur den Kanal, nicht den Inhalt. Eine Phishing-Website kann HTTPS verwenden (das Schlosssymbol) und gleichzeitig schädliche Inhalte bereitstellen. HTTPS bestätigt die Identität des Servers, nicht dessen Vertrauenswürdigkeit.

Moderne HTTP-Versionen verbessern die Leistung:

• HTTP/2 — Multiplexing, Header-Komprimierung und Server Push über TLS
• HTTP/3 — verwendet QUIC (basierend auf UDP) für geringere Latenz, insbesondere auf Mobilgeräten

Beide erfordern TLS. Die Auswirkungen auf die Sicherheit ähneln denen von HTTP/1.1, die Angriffsfläche verschiebt sich jedoch geringfügig.

Werkzeuge zur Analyse von HTTP:

• Burp Suite — Anfragen und Antworten abfangen und ändern
• curl — Anfragen über die Kommandozeile senden
• Wireshark — Rohdatenverkehr aufzeichnen (HTTP ist sichtbar, HTTPS verschlüsselt)

Welches HTTP-Cookie-Attribut verhindert den Zugriff auf das Cookie durch JavaScript und schützt es dadurch vor XSS-Diebstahl?

HTTP bildet die Grundlage der Webkommunikation. HTTPS ergänzt TLS-Verschlüsselung, Integrität und Serverauthentifizierung. Sicherheitsheader erhöhen die Widerstandsfähigkeit von Webanwendungen. Cookies sollten mit den Attributen HttpOnly, Secure und SameSite versehen werden. Denken Sie daran: HTTPS verschlüsselt den Kanal, garantiert aber nicht, dass eine Website vertrauenswürdig ist.