session cookies verwijderen

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

PHP developer (Laravel/Vue.js)

Functie Het team telt momenteel 20 collega’s, bestaande uit developers (front- en backend) en het operations team, waaronder ook het management en twee scrum masters vallen. Ze zijn op zoek naar een PHP developer die in staat is zelfstandig te werken. Je komt te werken in één van de drie scrumteams en gaat aan de slag met een project voor de klant. Het fijne hieraan is dat je wel afwisseling hebt qua werk, maar tegelijkertijd doorlopend werkt voor bestaande klanten. Hierdoor krijg je ook de kans om echt de diepte in te gaan en innovatieve technische oplossingen neer te zetten.

Bekijk vacature »

C# .NET Developer

Dit ga je doen Ontwikkelen van de Back-end in .NET6 / C# en WebAPI (Focus);) Ontwikkelen van de Front-End in Nodje.js en Angular (secundair); Ontwikkelen in Blazor; Opstellen van een technisch ontwerp; Testen, documenteren en implementeren van de nieuwe applicatie; Verzorgen van de nazorg, na de implementatie. Hier ga je werken Binnen deze organisatie werken duizenden mensen binnen allerlei verschillende disciplines. Tevens hebben zij veel specialiteiten in huis, waaronder ook .Net Developers. Ter uitbreiding van een nieuw team en ter ondersteuning van het project zijn ze opzoek naar een nieuwe collega voor het team. Als C#.NET Developer zal jij je

Bekijk vacature »

Lasrobotprogrammeur/operator

Heb je interesse in trekkers en beschik je overvlijmscherpse precisie? Solliciteer dan op deze vacature! Als Lasoperator ben je vooral bezig met het maken van nieuwe lasrobotprogramma’s en het optimaliseren van bestaande programma’s, zowel online als offline (incl. het bedienen van de Lasrobots). Daarnaast draag je bij aan een optimaal rendement van de las robots. Verder heb je de volgende werkzaamheden: Het meewerken als operator c.q. Robotlassen niveau 2 (van complexe samenstellingen/halffabricaten), het om- en instellen van de diverse stations van lasmallen (productdragers), het afwerken van laswerk (verwijderen lasspetters en oxiden), het bewaken van de machineplanning (op bewerkingen) incl. de

Bekijk vacature »

Teamlead PHP Developer

Functieomschrijving Voor een gewaardeerde werkgever in de buurt van Middelburg zijn wij op zoek naar een gemotiveerde teamlead PHP developer met affiniteit met Symfony/Laravel. Een enthousiast persoon die het ontwikkelteam komt versterken met het aanpakken van uitdagende projecten. Ben jij op zoek naar een uitdaging waar je de tijd en ruimte krijgt jezelf te ontwikkelen en je eigen IT-team aan te sturen? Lees dan snel verder! Die ga je doen: Bijdragen aan de implementatie van aanpassingen, verbeteringen en aanvullingen in de PHP based applicaties; Ontwikkeling en beheer van de serviceportal in Symfony en de webshops in de tweede versie van

Bekijk vacature »

.NET developer

Functie Jij begint als .NET ontwikkelaar in een team met 10 andere Software Engineers. De werkzaamheden zijn afwisselend, zo kan het dat jij bezig bent met volledig nieuwe features of het door ontwikkelen van bestaande sites of shops. Wij ontwikkelen web applicaties, maar ook mobiele applicaties. Daarnaast bijt jij je soms ook van in externe koppelingen met systemen zoals een ERP. Als team is er een duidelijke focus m.b.t. het waarborgen van de performance en snelheid van webshops. Ook zijn wij expert op het gebied van configuratoren. Kortom enorm veel afwisselende werkzaamheden! Ook jouw werkplek kan afwisselend zijn. Soms heb

Bekijk vacature »

Fullstack Developer

Functieomschrijving Voor een erkende werkgever in regio Etten-Leur zijn wij op zoek naar een Fullstack Developer met PHP/Laravel ervaring. Je gaat aan de slag met het bouwen van maatwerk software voor klanten die actief zijn in een specifieke markt. Als fullstack developer ben je samen met een enthousiast team van 7 collega’s verantwoordelijk voor de ontwikkeling, beheer en innovatie van informatiesystemen voor klanten in een specifieke branche. Verder ondersteun je complexe uitdagingen van klanten. Je brengt hun wensen in kaart en vertaalt deze door naar maatwerk software. Ervaring met Laravel is een must. Om de klant zo goed mogelijk te

Bekijk vacature »

Software Developer Mendix / Maatschappelijk Betrok

Dit ga je doen Het bouwen van de Mendix applicaties in samenwerking met jouw team of zelfstandig; Werken met Scrum methodiek; Ontwikkelen van vooruitstrevende oplossingen; Meedenken over nieuwe applicaties en ontwikkelingen; On the job eigen maken van de Mendix omgeving. Hier ga je werken Deze dynamische en snelgroeiende organisatie begeeft zich in de recyclingbranche. Zij nemen op duurzame en efficiënte manier de recycling op zich. Vanwege hun snelle groei zijn zij op zoek naar een young professional die zich graag wilt ontwikkelen als Mendix Developer. Je komt te werken binnen een IT team van +/- 15 medewerkers. Het huidige ‘vaste’

Bekijk vacature »

Medior C# Developer

Samen met het development team zorg je ervoor dat alle systemen achter de schermen vlekkeloos werken. Wat doe je als Medior C# Developer bij Coolblue? Als C# developer doe je regelmatig mee aan brainstormsessies over user experience, data en task flow met de UX Designer, Product Owner en Data Scientist in je team. Daarnaast schrijf je op zichzelf staande, consistente en testbare code die goed onderhoudbaar en toekomstbestendig is. Ook C# Developer worden bij Coolblue? Lees hieronder of het bij je past. Dit vind je leuk om te doen Werken met verschillende soorten data-opslag, zoals Oracle of AWS. Problemen oplossen

Bekijk vacature »

.NET Developer Medior Senior

Dit ga je doen Ontwikkelprocessen verder optimaliseren en verder ontwikkelen met C#; CI/CD-pipelines automatiseren; Herbruikbare componenten maken; Testen; Front-end pagina's gebruiksvriendelijk maken. Hier ga je werken Als .NET Developer kom jij terecht binnen een grote en internationale organisatie. Zij streven naar een positieve impact op de mens, milieu en maatschappij. Het bedrijf is oorspronkelijk een familiebedrijf en werkt aan de productie van hoogwaardige en technische systemen voor de gezondheidszorg. Momenteel willen zij betere ontwikkelprocessen creëren op internationaal gebied en staat kwaliteit en veiligheid voor hun op nummer 1! Als .NET Developer werk jij aan het ontwikkelen van verbeterde software voor

Bekijk vacature »

SAP HANA Developer

Vacature details Vakgebied: Software/IT Opleiding: Senior Werklocatie: Veldhoven Vacature ID: 13382 Introductie We is looking for a HANA Developer to work for our client. The candidate has to have an experience in building Data Intensive Applications (DIA’s). The role of a HANA Developer at ASML involves working on building Data Intensive Applications in an industrial/enterprise environment. The primary responsibility is to handle data from various sources and determine the best way to structure it for use by data analysts, who will run queries and algorithms against it for predictive and prescriptive analytics through machine learning. Wat verwachten we van jou?

Bekijk vacature »

Full Stack Java ontwikkelaar

Functieomschrijving Voor de politie zijn wij op zoek naar een Full stack Java ontwikkelaar. Als ervaren full stack Java ontwikkelaar binnen de gewenste deadlines meewerken aan de totstandkoming van de gewenste werkzaamheden. Taken Upgraden van GeoServer, SOLR, Oracle Spatial database, Tomcat Migreren Oracle Spatial naar PostgreSQL/PostGIS Migreren SOLR naar ElasticSearch Geografische gegevens op het interne netwerk beschikbaar maken Doorontwikkelen en actualiseren van de geografische services Het up to date brengen van de CI/CD pipeline, samen met medewerkers die verantwoordelijk zijn voor de CI/CD tooling Aanspreekbaar op de solution architectuur en stemt die met collega's in het cluster Geo De opdracht

Bekijk vacature »

.NET Developer

Functieomschrijving Ben jij klaar voor de volgende stap in jouw carrière? Kom werken bij dit kleine softwarebureau en werk aan de gaafste maatwerk projecten. Je komt te werken in een klein development team en werk nauw samen met elkaar, om maatwerk software te leveren en bij te dragen aan bedrijfsautomatiseringen. Je gaat werken met de Microsoft stack en technieken als .NET, C#, Entity, MVC, SQL server. In de functie krijg je veel vrijheid om zelf beslissingen te nemen en je hebt impact op de bedrijfsprocessen. Bedrijfsprofiel Dit familiebedrijf bestaat al ruim 20 jaar. Zij hebben een vast netwerk van klanten,

Bekijk vacature »

IoT Software Developer PHP

Functie omschrijving Voor een klein softwarebedrijf in Breda, zijn wij op zoek naar een IoT software developer met kennis van PHP. In deze rol wordt je verantwoordelijk voor het vernieuwen van het multimedia platform van een super tof bedrijf in Breda. Je gebruikt PHP als programmeerlaag, en bent in staat om de helicopterview te pakken / projectmatig te werken. Jouw werkzaamheden zien er als volgt uit: Je gaat aan de slag met de ontwikkeling en vernieuwing van het "intern" ontwikkelde multimedia platform. Je neemt de lead in het moderniseren van het platform door het deels opnieuw op te zetten of

Bekijk vacature »

Applicatie ontwikkelaar

Functie omschrijving Zelfstandige applicatie ontwikkelaar gezocht voor familiair bedrijf in omgeving Capelle ad Ijssel Ben jij op zoek naar een nieuwe uitdaging en zoek jij een informele werkgever waar je zelfstandig kunt werken binnen een leuk IT team, lees dan snel verder want wie weet zijn wij op zoek naar jou! Een deel van jouw werkzaamheden: Onderhouden en ontwikkelen van de IT systemen; Opzetten van Azure Cloud systemen, denk aan interfaces, hardware op de Cloud, webportalen of BI functies; Werken aan scripts binnen verschillende software applicaties, denk aan ERP en CAD; Ontwikkelen en implementeren van MS PowerApps en Power BI.

Bekijk vacature »

PHP developer

Functie Voor een opdrachtgever in omgeving Leiden zijn wij op zoek naar een PHP developer die affiniteit heeft met C++. Ben jij reeds afgestudeerd of heb je al een paar jaar ervaring? Lees snel verder en kijk of dit iets voor jou is! Hoe kan jouw dag er straks uitzien? Je gaat software en webapplicaties ontwikkelen met behulp van de talen C / C++ / PHP. Je gaat technische klussen uitvoeren op locatie bij klanten. Je onderhoudt contact met de projectleider om er zeker van te zijn dat een projecten goed verlopen. Je gaat klanten ondersteunen op het gebied van

Bekijk vacature »

Pagina: « vorige 1 2

Ozzie PHP

Ozzie PHP

17/02/2017 00:53:08
Quote Anchor link
>> Als je het token niet weghaalt zou je het form de hele tijd kunnen her-submitten

Je genereert toch een nieuw token bij ieder request?
 
PHP hulp

PHP hulp

10/05/2024 08:54:37
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 08:37:37
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel. Verandert een IP-adres (opnieuw een state change) als je bijvoorbeeld midden in een betaalproces zit, dan kan het toch wel verstandig zijn om de gebruiker zekerheidshalve opnieuw om een wachtwoord te vragen.

De combinatie $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT'] is zelfs zó uniek dat je er individuele internetgebruikers aan kunt herkennen.

Marlies Maalderink op 16/02/2017 20:05:28:
In totaal zijn de sessies nu beveiligd op de volgende manier:

- de session-cookies worden ingesteld op httponly en op secure als die mogelijkheid er is
- de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)
- het session id word geregenereerd direct na inloggen, en daarna bij 20% van de session_starts
- bij het uitloggen wordt de sessie leeggemaakt, de lifetime in het verleden gezet, nogmaals geregenarate en dan gedestroyed
- de formulieren zijn voorzien van tokens die ik ook in een sessie opsla en direct na het controleren weer leegmaak.

Kan ik nog meer doen om de sessies te beveiligen of zit ik zo wel goed?

Ik zou er nog vier aan toevoegen:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).
 
Thomas van den Heuvel

Thomas van den Heuvel

17/02/2017 14:40:42
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 15:06:10
Quote Anchor link
Bedankt voor alle tips en reacties.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)


Idd, gaat om beveiliging tegen CSRF, dan is het toch wel handig om hem te verwijderen.

Thomas van den Heuvel op 17/02/2017 14:40:42:
In het ergste geval kaapt iemand een lege sessie ;-). Niet zo bijzonder boeiend lijkt mij. Maar het is een state change, da's waar :].


Nee precies. Het is wel een kwestie van 'het kan geen kwaad om het er toch tussen te zetten' maar ik ben sowieso niet zo dol op overbodige code.

Ward van der Put op 17/02/2017 08:37:37:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).


Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Sessieduur verkorten is misschien wel handig om toe te voegen aan het inogsysteem zodat het er vast in zit en ik het aan kan zetten als het in de toekomst wel eens nodig is! Heb ik er dan geen werk meer van...

Wachtwoorden in de database hash ik met Bcrypt, de gehaste sessie variabelen met sha512.
Gewijzigd op 17/02/2017 15:06:38 door Marlies Maalderink
 
- Ariën  -
Beheerder

- Ariën -

17/02/2017 15:40:56
Quote Anchor link
Marlies Maalderink op 17/02/2017 15:06:10:

Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Dat is LetsEncrypt, en werkt eigenlijk best wel makkelijk. Ik weet niet welk controlepaneel je bij je hosting hebt, maar de meesten ondersteunen Lets Encrypt inmiddels wel. Dan kan je in no-time een gratis SSL-certificaat aanvragen en die wordt dan meteen voor je geconfigureerd. Op deze manier kan ik via DirectAdmin op gebruikersniveau in ongeveer halve minuut een domein voorzien van een mooi groen slotje. Uiteraard moet het wel in DirectAdmin aan staan. Dergelijke certificaten zijn maar 3 maanden geldig, maar met een cronjob kan je dit her-activeren eenvoudig automatiseren. Zelfs DirectAdmin kan dat.
 
Ozzie PHP

Ozzie PHP

17/02/2017 16:07:32
Quote Anchor link
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)

Ik snap wat je bedoelt. Als het een losse stap is, is dat inderdaad het geval. Bij mij zit het iets anders in elkaar waardoor dat niet gebeurt, maar ik snap wat je bedoelt.
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 16:20:05
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.


Daar moest ik inderdaad wel aan denken, op een mobiele telefoon wippen mensen nauurlijk van het ene naar het andere wifi netwerk. Misschien gewoon een beetje per situatie beoordelen. Ik laat het er nu in ieder geval in staan, maar als de situatie het verlangd zou het er uit kunnen. Vind het toch wel prettig om het er in te hebben.

Ward, nou, beetje een domper. Mijn host heeft een eigen control panel.

Dan houdt het op. Ze ondersteunen LetEncrypt ook niet. Ze bieden zelf gratis gebruik van SSL certificaten aan, maar als je die gebruikt kun je niet tegelijkertijd ook je domeinnaam gebruiken. Ik heb dat gisteren al nagevraagd. In plaats van je eigen domeinnaam kijg je dan zoiets: https://a3652ffd.servage-customer.net Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 16:28:50
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet.

Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Het is gebruikelijk dat je een IP-adres in elk geval logt bij de log-in, in de sessie zelf of voor langere tijd in een database. (Bij bedrijfskritieke applicaties log je zelfs alles.) Als jij ineens vanaf een ander IP-adres een groot bedrag naar het buitenland zou willen overmaken, dan denk ik dat ik je even zou bellen, als ik jouw bank was...

Dat sommige gebruikers geen vast IP-adres hebben, wil nog niet zeggen dat je niets kunt doen met/voor de gebruikers die wél een vast IP-adres hebben. Sterker nog, voor streng beveiligde applicaties gebruiken we zelfs een white list: staat je IP-adres niet op de lijst, dan kom je er niet in.
 
Ozzie PHP

Ozzie PHP

17/02/2017 17:37:31
Quote Anchor link
>> Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...

Of op zoek naar een andere host ;-)

>> Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Correct, en velen met mij. Maar ik representeer helaas niet alle internetgebruikers :-) En ja, er zijn er dus ook een hele hoop die op en neer rijden terwijl ze surfen. Het lijkt me wel iets om mee rekening te houden. Het regenereren van een sessie ID bij een wisselend IP-adres is geen probleem, maar iemand uitloggen kan wel degelijk een probleem zijn.
 
Bart V B

Bart V B

17/02/2017 18:50:16
Quote Anchor link
>> Ze ondersteunen LetEncrypt ook niet.
Uhm... Je hebt toch een VPS?
Anders heb ik het helemaal mis hoor.
Maar mocht het zo zijn, dan is Let's encrypt harstikke makkelijk.
Je moet even dit lezen: https://letsencrypt.org/getting-started/
Ik weet niet welke distro je gebruikt maar daar hebben ze een super handige oplossing voor:
https://certbot.eff.org/

Nog even alles aan elkaar knopen in je apache config dat het aan je domein zit, en klaar ben je. ;)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 20:55:53
Quote Anchor link
Nee, heb ik niet, ik heb gewoon shared. Ik koos daar ooit voor omdat je bij het shared pakket véél (oneindig) meer dataverkeer hebt en bovendien meer opslag. Tegenwoordig is dat niet zo belangrijk meer voor me, misschien moet ik eens mijn pakket veranderen. De laatste tijd wel meer beperkingen ontdekt, zoals geen OpCache. (Wat voor drupal8 en laravel wel prettig is)
Gewijzigd op 17/02/2017 20:56:34 door Marlies Maalderink
 
Thomas van den Heuvel

Thomas van den Heuvel

18/02/2017 00:25:21
Quote Anchor link
@vast IP, volgens mij moet het mogelijk zijn om iets slims te doen met enkel de user agent en een random string met voldoende "entropie" zoals aangehaald in een ander draadje.
 

Pagina: « vorige 1 2



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.