session cookies verwijderen

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Software Developer (Junior functie)

Functieomschrijving Wij zijn op zoek naar een Software Developer! Sta jij in de startblokken om je carrière te beginnen en kan je niet wachten om toffe software te gaan ontwikkelen? Kortom, ben je onlangs afgestudeerd of sta je op het punt om je papiertje te behalen? Voor een IT dienstverlener dat gespecialiseerd is in Microsoft technologie zijn wij op zoek naar C#.NET Developers. Het bedrijf heeft meerdere klanten in regio Utrecht waar je permanent kan komen te werken. Kom je liever te werken bij een klein softwarebedrijf of bij een groot consultancy bureau? Dat is helemaal aan jou de keuze!

Bekijk vacature »

Ervaren PHP ontwikkelaar

Functie Jij als PHP ontwikkelaar komt te werken in een team van 4 andere PHP ontwikkelaars. Je zult je voornamelijk bezig houden met: – Het ontwikkelen van nieuwe features – Doorontwikkelen van de API – Nadenken over de technische infrastructuur – Datakwaliteit Samen met het team ben jij verantwoordelijk voor de verdere ontwikkeling van de software en om de positie als marktleider in Europa te behouden. Ze werken volgens SCRUM in 2 wekelijkse sprints, werken met Jira voor alle tickets en communiceren veel via Slack. Eisen • Minimaal 3 jaar ervaring als back end developer • Je hebt affiniteit met

Bekijk vacature »

Front-end developer (HTML, CSS, SASS, JavaScript)

Functie Momenteel zijn we voor ons Digital team op zoek naar een (medior) Front-end developer. Samen met je collega’s werk je in een Agile/Scrum omgeving aan de ontwikkeling van onze webapplicaties, websites en andere oplossingen. Je draagt bij aan een sterk ontwikkelproces waarin kwaliteit voorop staat. Hiervoor ben je niet alleen bezig met eigen code maar ook code reviews van andere collega’s. Ben jij graag op de hoogte van de nieuwste ontwikkelingen in je vakgebied en wil je deze toepassen voor diverse projecten? Dan komen wij graag met je in contact! Eisen • HBO werk- en denkniveau • Minimaal 2

Bekijk vacature »

Oracle APEX developer

Wat je gaat doen: Als Oracle APEX ontwikkelaar bij DPA werk je samen met collega’s aan de meest interessante opdrachten. Je zult je ervaring met SQL, PL/SQL, JavaScript, HTML en CSS inzetten om wensen van opdrachtgevers te vertalen naar technische oplossingen. Je werk is heel afwisselend, omdat DPA zich niet beperkt tot een specifieke branche. Zo ben je de ene keer bezig binnen de zorgsector, de andere keer is dit bij de overheid. Wat we vragen: Klinkt goed? Voor deze functie breng je het volgende mee: Je hebt een hbo- of universitaire opleiding afgerond Je hebt 2 tot 5 jaar

Bekijk vacature »

C# .NET Software Ontwikkelaar

Functie omschrijving Gezocht: Software Developer C# .NET voor een dynamische organisatie! Ben je onlangs afgestudeerd of ben je toe aan de volgende stap in je professionele carrière? Lees dan verder! We zijn momenteel op zoek naar een Software Developer die klaar is voor een nieuwe uitdaging en die onze eindklant in de regio Arnhem kan versterken. In deze functie werk je aan verschillende projecten en bezoek je vaak klanten. Je kunt een rol verwachten met veel uitdaging, diversiteit en verantwoordelijkheid. Bedrijfsprofiel Binnen welke organisatie ga je aan de slag? Je gaat werken bij een organisatie die zich specialiseert in het

Bekijk vacature »

Software Programmeur

Functie omschrijving Ben jij op zoek naar een organisatie waar je samen met een team werkt aan iets moois en waar je naast hard werken ook hard kunt lachen? Dan ben je hier aan het juiste adres! Voor een informeel IT-bedrijf in omgeving Wassenaar zijn wij op zoek naar versterking. Ben jij op zoek naar een nieuwe uitdaging als Software Programmeur lees dan snel verder! Werkzaamheden Programmeur Je bent bezig met het ontwikkelen van software en webapplicaties. Je kunt technische klussen uitvoeren op locatie. Je onderhoudt contact met de projectleider om er zeker van te zijn dat een project goed

Bekijk vacature »

Scrum Master

TenneT is hard groeiend om de onze ambities waar te kunnen maken. Zo nemen wij een leidende rol in het aanjagen van de energietransitie. Het werven van nieuw talent speelt daarin een cruciale rol. Wij zijn op zoek naar een gedreven Scrum master op onze locatie Arnhem die hieraan wil bijdragen en misschien ben jij dat wel? Jouw bijdrage aan TenneT Je begeleidt twee teams binnen de afdeling Platform Services (PLS). Je helpt mee de devops manier van werken van de teams verder door te ontwikkelen. Je helpt de PO bij het managen van de product backlog; het voorbereiden van

Bekijk vacature »

Senior Front end developer Automotive Angular

Functie Als Senior Front end developer kom je te werken in een team van 11 developers. 9 van de 11 focussen zich op back end, welke is geschreven in Java, en 2 op de front end waarbij er gebruik wordt gemaakt van Typescript en Angular. De focus in deze rol ligt op 2 aspecten; doorontwikkeling van de eigen tooling en gebruik van de tooling t.b.v. klantprojecten. Momenteel zijn ze in de afrondende fase van een project waarbij ze het gehele verkoopproces van nieuwe auto’s anders ingeregeld hebben voor een grote dealer in Nederland. Waarbij Auto’s normaliter pas verkocht werden in

Bekijk vacature »

Account Developer

Voor Bol.com zijn wij per direct op zoek naar een Account Developer voor 32-40 uur per week op het kantoor in Utrecht. Wil jij een directe bijdrage leveren door partners van de juiste data-inzichten te voorzien en via campagnes op nieuwe platformkansen en features te wijzen? Ben jij analytisch sterk en kun jij dit vertalen naar plannen en inspirerende gesprekken? Lees dan snel verder! wat bieden wij jou Salaris van €2400 - €2600 obv 40 uur Minimaal 6 maanden Werklocatie is Utrecht Werken bij bol.com wie ben jij Jij bent commercieel gedreven en weet altijd aan de juiste knoppen te

Bekijk vacature »

Junior PHP (Laravel) Developer

Functie omschrijving Wij zijn op zoek naar een PHP Laravel Developer! Sta je aan het begin van je carrière en ben je op zoek naar een leuke baan? Lees dan verder! Voor een softwarebedrijf in omgeving van Schiphol zijn wij op zoek naar een ervaren PHP (Laravel) Developer. Je gaat je bezighouden met het ontwikkelen van innovatieve bedrijfsapplicaties. Samen met het team, bestaande uit designers en developers, maak je mooie oplossingen voor bedrijven in diverse branches. Je zorgt dat de opgeleverde websites perfect werken en de klant meer dan tevreden is. Je kunt rekenen op een afwisselende baan met leuke

Bekijk vacature »

Senior PHP developer

Functie Jouw werkzaamheden zullen grotendeels bestaan uit het in teamverband ontwerpen, vernieuwen en door ontwikkelen van het systeem. Het is echt back-end werk (bijvoorbeeld het doorontwikkelen van een API) en dit moet je dan ook liggen. Ze zijn niet persee gebonden aan talen of tools maar gebruiken graag de technieken die het beste aansluiten op de gegeven oplossing. Voor nieuwe (versies van) componenten maken ze veelal gebruik van Go(lang). Bij aanpassingen aan bestaande onderdelen gebeurt dit in PHP en C++. Het team is heel divers, er hangt een relaxte sfeer en ze organiseren regelmatig leuke music nights, game nights e.d.

Bekijk vacature »

C# .NET Developer

Functie omschrijving C# .NET Developer gezocht. Ben jij een full stack developer die op zoek is naar een nieuwe uitdaging binnen een leuk snel groeiend bedrijf? Lees dan snel verder! Wij zijn op zoek naar een Developer met ervaring op het gebied van .NET die een organisatie in de regio Bennekom gaat versterken. Jij gaat je binnen dit bedrijf vooral bezighouden met het verbeteren van de functionaliteiten van hun dataplatform. Samen met andere ontwikkelaars denk je mee in oplossingsrichtingen, architectuur en nieuwe technologieën. Bedrijfsprofiel De organisatie waar je voor gaat werken heeft een onafhankelijk dataplatform ontwikkelt voor de agrarische sector.

Bekijk vacature »

PHP developer (Symfony, Doctrine)

Functie Als PHP developer wordt er een hoge mate van zelfstandigheid verwacht, maar ook dat je goed opereert in een team waar kennis wordt gedeeld en dingen als codereviews erg veel voorkomen. Kwaliteit staat voorop, mede hierom werken ze bijvoorbeeld zonder echte deadlines in hun sprints. De SaaS-applicatie wordt volledig ontwikkeld in PHP en Symfony. De module bestaat uit een stuk informatie verrijking en intelligentie wat resulteert in een medische check. De logica wordt daarom in de code geïntrigeerd. Je bent onder andere bezig met complexe databases waar meer dan 80.000 medicijnen op verschillende niveaus in staan, die maandelijks worden

Bekijk vacature »

Low Code Developer voor o.a. overheidsprojecten!

Bedrijfsomschrijving Wil jij ook behoren tot de specialist in Low Code? Dan zou ik zeker aanraden om verder te lezen. Deze organisatie is ooit opgericht door twee studenten en is inmiddels uitgegroeid tot een serieuze werkgever met een groot aanzien op Low Code projecten. De sfeer is echter niet veranderd, er heerst een informele sfeer met een open deuren beleid, en hierin mag de eigen bar natuurlijk niet ontbreken. Momenteel maakt deze organisatie een flinke groei door en hier kan jij natuurlijk niet bij ontbreken. Daarom ben ik op zoek naar Low Code Developers met een degelijke technische achtergrond. Kennis

Bekijk vacature »

Laravel / PHP developer

Functie omschrijving Wij zijn op zoek naar een Medior PHP / Laravel Developer voor een IT-consultancy in de omgeving van Hoofddorp! Ben jij op zoek naar een leuke nieuwe uitdaging binnen een veelzijdige werkomgeving? Lees dan snel verder! Binnen dit bedrijf werk je in een ontwikkelteam, waarin je zeer betrokken bent en meedenkt over softwareoplossingen. Binnen dit Team hou je je bezig met het aanpassen, verbeteren en vernieuwen van de logistieke oplossingen. Je zult je bezig houden met de volgende werkzaamheden: Je gaat aan de hand van de wensen van klanten software ontwikkelen; Je bent bij het gehele proces betrokken;

Bekijk vacature »

Pagina: « vorige 1 2

Ozzie PHP

Ozzie PHP

17/02/2017 00:53:08
Quote Anchor link
>> Als je het token niet weghaalt zou je het form de hele tijd kunnen her-submitten

Je genereert toch een nieuw token bij ieder request?
 
PHP hulp

PHP hulp

10/05/2024 07:22:17
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 08:37:37
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel. Verandert een IP-adres (opnieuw een state change) als je bijvoorbeeld midden in een betaalproces zit, dan kan het toch wel verstandig zijn om de gebruiker zekerheidshalve opnieuw om een wachtwoord te vragen.

De combinatie $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT'] is zelfs zó uniek dat je er individuele internetgebruikers aan kunt herkennen.

Marlies Maalderink op 16/02/2017 20:05:28:
In totaal zijn de sessies nu beveiligd op de volgende manier:

- de session-cookies worden ingesteld op httponly en op secure als die mogelijkheid er is
- de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)
- het session id word geregenereerd direct na inloggen, en daarna bij 20% van de session_starts
- bij het uitloggen wordt de sessie leeggemaakt, de lifetime in het verleden gezet, nogmaals geregenarate en dan gedestroyed
- de formulieren zijn voorzien van tokens die ik ook in een sessie opsla en direct na het controleren weer leegmaak.

Kan ik nog meer doen om de sessies te beveiligen of zit ik zo wel goed?

Ik zou er nog vier aan toevoegen:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).
 
Thomas van den Heuvel

Thomas van den Heuvel

17/02/2017 14:40:42
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 15:06:10
Quote Anchor link
Bedankt voor alle tips en reacties.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)


Idd, gaat om beveiliging tegen CSRF, dan is het toch wel handig om hem te verwijderen.

Thomas van den Heuvel op 17/02/2017 14:40:42:
In het ergste geval kaapt iemand een lege sessie ;-). Niet zo bijzonder boeiend lijkt mij. Maar het is een state change, da's waar :].


Nee precies. Het is wel een kwestie van 'het kan geen kwaad om het er toch tussen te zetten' maar ik ben sowieso niet zo dol op overbodige code.

Ward van der Put op 17/02/2017 08:37:37:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).


Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Sessieduur verkorten is misschien wel handig om toe te voegen aan het inogsysteem zodat het er vast in zit en ik het aan kan zetten als het in de toekomst wel eens nodig is! Heb ik er dan geen werk meer van...

Wachtwoorden in de database hash ik met Bcrypt, de gehaste sessie variabelen met sha512.
Gewijzigd op 17/02/2017 15:06:38 door Marlies Maalderink
 
- Ariën  -
Beheerder

- Ariën -

17/02/2017 15:40:56
Quote Anchor link
Marlies Maalderink op 17/02/2017 15:06:10:

Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Dat is LetsEncrypt, en werkt eigenlijk best wel makkelijk. Ik weet niet welk controlepaneel je bij je hosting hebt, maar de meesten ondersteunen Lets Encrypt inmiddels wel. Dan kan je in no-time een gratis SSL-certificaat aanvragen en die wordt dan meteen voor je geconfigureerd. Op deze manier kan ik via DirectAdmin op gebruikersniveau in ongeveer halve minuut een domein voorzien van een mooi groen slotje. Uiteraard moet het wel in DirectAdmin aan staan. Dergelijke certificaten zijn maar 3 maanden geldig, maar met een cronjob kan je dit her-activeren eenvoudig automatiseren. Zelfs DirectAdmin kan dat.
 
Ozzie PHP

Ozzie PHP

17/02/2017 16:07:32
Quote Anchor link
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)

Ik snap wat je bedoelt. Als het een losse stap is, is dat inderdaad het geval. Bij mij zit het iets anders in elkaar waardoor dat niet gebeurt, maar ik snap wat je bedoelt.
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 16:20:05
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.


Daar moest ik inderdaad wel aan denken, op een mobiele telefoon wippen mensen nauurlijk van het ene naar het andere wifi netwerk. Misschien gewoon een beetje per situatie beoordelen. Ik laat het er nu in ieder geval in staan, maar als de situatie het verlangd zou het er uit kunnen. Vind het toch wel prettig om het er in te hebben.

Ward, nou, beetje een domper. Mijn host heeft een eigen control panel.

Dan houdt het op. Ze ondersteunen LetEncrypt ook niet. Ze bieden zelf gratis gebruik van SSL certificaten aan, maar als je die gebruikt kun je niet tegelijkertijd ook je domeinnaam gebruiken. Ik heb dat gisteren al nagevraagd. In plaats van je eigen domeinnaam kijg je dan zoiets: https://a3652ffd.servage-customer.net Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 16:28:50
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet.

Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Het is gebruikelijk dat je een IP-adres in elk geval logt bij de log-in, in de sessie zelf of voor langere tijd in een database. (Bij bedrijfskritieke applicaties log je zelfs alles.) Als jij ineens vanaf een ander IP-adres een groot bedrag naar het buitenland zou willen overmaken, dan denk ik dat ik je even zou bellen, als ik jouw bank was...

Dat sommige gebruikers geen vast IP-adres hebben, wil nog niet zeggen dat je niets kunt doen met/voor de gebruikers die wél een vast IP-adres hebben. Sterker nog, voor streng beveiligde applicaties gebruiken we zelfs een white list: staat je IP-adres niet op de lijst, dan kom je er niet in.
 
Ozzie PHP

Ozzie PHP

17/02/2017 17:37:31
Quote Anchor link
>> Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...

Of op zoek naar een andere host ;-)

>> Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Correct, en velen met mij. Maar ik representeer helaas niet alle internetgebruikers :-) En ja, er zijn er dus ook een hele hoop die op en neer rijden terwijl ze surfen. Het lijkt me wel iets om mee rekening te houden. Het regenereren van een sessie ID bij een wisselend IP-adres is geen probleem, maar iemand uitloggen kan wel degelijk een probleem zijn.
 
Bart V B

Bart V B

17/02/2017 18:50:16
Quote Anchor link
>> Ze ondersteunen LetEncrypt ook niet.
Uhm... Je hebt toch een VPS?
Anders heb ik het helemaal mis hoor.
Maar mocht het zo zijn, dan is Let's encrypt harstikke makkelijk.
Je moet even dit lezen: https://letsencrypt.org/getting-started/
Ik weet niet welke distro je gebruikt maar daar hebben ze een super handige oplossing voor:
https://certbot.eff.org/

Nog even alles aan elkaar knopen in je apache config dat het aan je domein zit, en klaar ben je. ;)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 20:55:53
Quote Anchor link
Nee, heb ik niet, ik heb gewoon shared. Ik koos daar ooit voor omdat je bij het shared pakket véél (oneindig) meer dataverkeer hebt en bovendien meer opslag. Tegenwoordig is dat niet zo belangrijk meer voor me, misschien moet ik eens mijn pakket veranderen. De laatste tijd wel meer beperkingen ontdekt, zoals geen OpCache. (Wat voor drupal8 en laravel wel prettig is)
Gewijzigd op 17/02/2017 20:56:34 door Marlies Maalderink
 
Thomas van den Heuvel

Thomas van den Heuvel

18/02/2017 00:25:21
Quote Anchor link
@vast IP, volgens mij moet het mogelijk zijn om iets slims te doen met enkel de user agent en een random string met voldoende "entropie" zoals aangehaald in een ander draadje.
 

Pagina: « vorige 1 2



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.