session cookies verwijderen

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Front-end developer (HTML, CSS, SASS, JavaScript)

Functie Momenteel zijn we voor ons Digital team op zoek naar een (medior) Front-end developer. Samen met je collega’s werk je in een Agile/Scrum omgeving aan de ontwikkeling van onze webapplicaties, websites en andere oplossingen. Je draagt bij aan een sterk ontwikkelproces waarin kwaliteit voorop staat. Hiervoor ben je niet alleen bezig met eigen code maar ook code reviews van andere collega’s. Ben jij graag op de hoogte van de nieuwste ontwikkelingen in je vakgebied en wil je deze toepassen voor diverse projecten? Dan komen wij graag met je in contact! Eisen • HBO werk- en denkniveau • Minimaal 2

Bekijk vacature »

Senior Full Stack developer

Bedrijfsomschrijving tbd Functieomschrijving Full Stack Java Development bij Randstad Groep Nederland (HQ) Er is een vacature in het Corporate Client Solutions (CCS) team. Dit team is met een ander team net begonnen aan het project ‘Grip op Inhuur’. Het doel van dit project is de tevredenheid van onze leveranciers te verhogen en de efficiëntie van onze administratie te verbeteren. Onderdeel daarvan is een ‘Mijn-omgeving’ voor ZZP’ers en leveranciers. Naast dit nieuwe project werkt het team ook aan het onderhoud en verbeteren van een digitaal vacature management systeem waarmee dagelijks vele vacatures worden voorzien. Het team ontwikkelt zo veel mogelijk zelf

Bekijk vacature »

Digitale Tovenaar Gezocht: Junior Low-code/No-code

Bedrijfsomschrijving Duik mee in een wereld vol innovatieve avonturen waar gegevens en technologie een magische symbiose aangaan! Al meer dan twee decennia lang zijn we de tovenaars achter de schermen die oplossingen creëren voor de meest complexe klantcontactvraagstukken en datagedreven software-uitdagingen. Bij ons draait het om de kracht van samenwerking en groei. We zijn een hechte vriendengroep die samen bergen verzet om elkaar én onze klanten te laten schitteren. Jouw succes is ons succes en we streven ernaar om elkaar naar nieuwe hoogten te tillen, niet voor even, maar voor altijd. We willen dat jij je helemaal thuis voelt in

Bekijk vacature »

Low code Developer

Dit ga je doen Je richt je op het doorontwikkelen van bestaande applicaties en het geheel van scratch af aan opzetten van nieuwe applicaties binnen een low code platform; Je beoordeelt technisch ontwerpen en maakt de vertaalslag naar de technische oplossingen binnen het platform; Je voert testwerkzaamheden uit; Je adviseert de organisatie op jouw vakgebied; Je schakelt met business analisten en de architect om tot mooie oplossingen te komen; Je lost bugs op en denkt mee over een structurele oplossing. Hier ga je werken Het gaat om een bekend internationaal handelsbedrijf met ruim 800 medewerkers, verdeeld over verschillende deelbedrijven. Deze

Bekijk vacature »

Functioneel Applicatiebeheerder

Wij van CNB zijn op zoek naar een leergierige Functioneel Applicatiebeheerder CNB is de grootste dienstverlener in de markt van bloembollen en vaste planten. In deze markt verricht CNB de volgende diensten: bemiddeling, veilen en het koelen en prepareren van bloembollen. Vanuit ons hoofdkantoor in Lisse werken bijna 100 collega’s dag in dag uit aan de bemiddeling van bloembollen. In Bovenkarspel vindt het koelen en prepareren van de bloembollen plaats. Wij zijn op zoek naar een enthousiaste Functioneel Applicatiebeheerder die naast een applicatie, ook sfeer kan bouwen! Jij: Vindt het leuk om binnen een klein IT-team aan de slag te

Bekijk vacature »

Creatieve Front-end developer gezocht!

Functie Het front-end team bestaat momenteel uit 4 collega’s en is hard aan het groeien! Samen leveren jullie een essentiële bijdrage aan de applicaties die ze voor hun klanten realiseren. Je werkt in het front-end team samen met de back-end teams en product owners om te zorgen dat de applicaties een fijne gebruikerservaring opleveren. Jouw expertise zorgt ervoor dat de juiste keuzes gemaakt worden qua techniek en ontwerp, van back-end tot aan gebruiker. In samenspraak met je team bepalen jullie de beste keuze voor techniek. Ook is er altijd ruimte om nieuwe technieken te ontdekken. Eisen • Je hebt gedegen

Bekijk vacature »

PHP Developer

Als PHP Developer bij Coolblue zorg je ervoor dat onze webshops elke dag een beetje beter zijn. Wat doe je als PHP Developer bij Coolblue? Als PHP Developer werk je met andere development teams samen om onze webshop zo optimaal mogelijk te laten werken en onze klanten blij te maken. Hoewel je een PHP Developer bent, sta je open om C# of Typescript in te zetten of te leren. Ook PHP Developer worden bij Coolblue? Lees hieronder of het bij je past. Dit vind je leuk om te doen pure PHP code schrijven. Samenwerken met de klantreiziger om onze klanten

Bekijk vacature »

Ervaren Full stack developer

Functie omschrijving Ben jij op zoek naar een uitdagende in-house functie bij een bedrijf met enorme groeipotentie? Ben jij op zoek naar een nieuwe uitdaging vol afwisseling en gezelligheid? Dan ben je bij dit bedrijf aan het juiste adres! Wij zijn in omgeving Breda op zoek naar een ervaren full stack developer. Je gaat werken voor een zeer gewilde werkgever met goede arbeidsvoorwaarden. Je krijgt een plekje in het jonge IT team, work hard, play hard is hier duidelijk het motto! Jouw werkzaamheden zien er als volgt uit: Jij bent verantwoordelijk voor het ontwerpen en bouwen van webapplicaties. Je bent

Bekijk vacature »

Oracle APEX developer

Wat je gaat doen: Als Oracle APEX ontwikkelaar bij DPA werk je samen met collega’s aan de meest interessante opdrachten. Je zult je ervaring met SQL, PL/SQL, JavaScript, HTML en CSS inzetten om wensen van opdrachtgevers te vertalen naar technische oplossingen. Je werk is heel afwisselend, omdat DPA zich niet beperkt tot een specifieke branche. Zo ben je de ene keer bezig binnen de zorgsector, de andere keer is dit bij de overheid. Wat we vragen: Klinkt goed? Voor deze functie breng je het volgende mee: Je hebt een hbo- of universitaire opleiding afgerond Je hebt 2 tot 5 jaar

Bekijk vacature »

Back End Developer

Als Back End developer bij KUBUS houd je je bezig met het ontwikkelen van de (web)applicatie en services van BIMcollab. Je hebt een focus op de back end van onze software, daarvoor werken wij hoofdzakelijk met C# en .NET. Wij hanteren een full-stack benadering, wat betekent dat je naast de back-end ook meehelpt bij andere onderdelen van de code. Als softwarebedrijf bevindt KUBUS zich in een unieke positie. We bouwen aan onze eigen producten die wereldwijd door tienduizenden gebruikers worden gebruikt. Ons bedrijf heeft precies de juiste grootte: groot genoeg om echt impact te maken in de markt, maar klein

Bekijk vacature »

PHP Developer - Draag bij aan de maatschappij!

Bedrijfsomschrijving Wil jij als applicatieontwikkelaar deel uitmaken van een gedreven ontwikkelteam en werken aan innovatieve producten? Dan hebben wij dé uitdaging voor jou! Wij zijn op zoek naar een enthousiaste collega die samen met ons de technische ondergrond van onze producten verder wil ontwikkelen met behulp van PHP. Met jouw expertise geef je de finishing touch aan onze producten om jezelf steeds opnieuw weer te verrassen. Functieomschrijving Bij ons staan innovatie en creativiteit centraal. Wij zijn op zoek naar een enthousiaste PHP ontwikkelaar die nieuwe ideeën en inzichten kan inbrengen en daarmee zichzelf en het team verder kan laten groeien.

Bekijk vacature »

Back-end ontwikkelaar

Functie omschrijving Wil jij meebouwen aan diverse databasesystemen in een klein bedrijf met een platte organisatie? In een team van ruim 10 ontwikkelaars wordt er aan diverse ICT oplossingen gewerkt. Jouw taken hierbij zullen bestaan uit: Het onderhouden en door-ontwikkelen van bestaande databases. Denk hierbij aan schema verbeteringen en performance-tuning. Bij nieuwe ontwikkelingen ga jij ook bezig met het bouwen van het databaseschema. Omdat je in een klein team werkt zal je ook de C# routine verder uitbouwen en ontwikkelen. Ook kan je meedraaien in algemene refactory-, ontwikkel- of testwerkzaamheden. Je zal voornamelijk gebruik maken van de volgende technieken: .NET

Bekijk vacature »

Software developer (Python)

Functie Je komt te werken in het IT-team bestaande uit de Lead developer en 4 (medior/senior) developers. Gezamenlijk werken jullie aan de verbetering en uitbreiding van de software. Binnen het development team is er veel vrijheid en zelfstandigheid, zonder dat ze hiermee afdoen aan de kwaliteit. Zo hebben ze elke ochtend een korte stand-up (10:00 uur) en houden ze zo nu en dan pair-programming sessies. Ook is er een hele professionele ontwikkelcyclus waarbij code altijd eerst door een collega wordt getest voordat het naar deployement gaat. Je hebt in je werk oog voor kwaliteit, risico’s en het klantbelang. Communicatie met

Bekijk vacature »

Laravel Developer

Functie omschrijving Voor een gave organisatie in de buurt van Den Bosch zoek ik een PHP developer. Het is van belang dat je kennis/ervaring hebt met het framework Laravel. Jij gaat in deze functie software applicaties ontwikkelen. Deze software projecten zijn heel divers, en deze organisatie maakt software, van A tot Z. Klanten kunnen in elke sector werkzaam zijn, van profit tot non-profit. Andere taken zijn onder andere: documentatie schrijven over applicaties/uitleg geven over software en applicaties/ klantcontact over bestaande applicaties/applicaties optimaliseren. Bedrijfsprofiel Deze organisatie zit in de regio van Den Bosch en is een klein bedrijf. Er werken circa

Bekijk vacature »

Oracle APEX developer

Wat je gaat doen: Als Oracle APEX ontwikkelaar bij DPA werk je samen met collega’s aan de meest interessante opdrachten. Je zult je ervaring met SQL, PL/SQL, JavaScript, HTML en CSS inzetten om wensen van opdrachtgevers te vertalen naar technische oplossingen. Je werk is heel afwisselend, omdat DPA zich niet beperkt tot een specifieke branche. Zo ben je de ene keer bezig binnen de zorgsector, de andere keer is dit bij de overheid. Wat we vragen: Klinkt goed? Voor deze functie breng je het volgende mee: Je hebt een hbo- of universitaire opleiding afgerond Je hebt 2 tot 5 jaar

Bekijk vacature »

Pagina: « vorige 1 2

Ozzie PHP

Ozzie PHP

17/02/2017 00:53:08
Quote Anchor link
>> Als je het token niet weghaalt zou je het form de hele tijd kunnen her-submitten

Je genereert toch een nieuw token bij ieder request?
 
PHP hulp

PHP hulp

25/11/2024 06:55:32
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 08:37:37
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel. Verandert een IP-adres (opnieuw een state change) als je bijvoorbeeld midden in een betaalproces zit, dan kan het toch wel verstandig zijn om de gebruiker zekerheidshalve opnieuw om een wachtwoord te vragen.

De combinatie $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT'] is zelfs zó uniek dat je er individuele internetgebruikers aan kunt herkennen.

Marlies Maalderink op 16/02/2017 20:05:28:
In totaal zijn de sessies nu beveiligd op de volgende manier:

- de session-cookies worden ingesteld op httponly en op secure als die mogelijkheid er is
- de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)
- het session id word geregenereerd direct na inloggen, en daarna bij 20% van de session_starts
- bij het uitloggen wordt de sessie leeggemaakt, de lifetime in het verleden gezet, nogmaals geregenarate en dan gedestroyed
- de formulieren zijn voorzien van tokens die ik ook in een sessie opsla en direct na het controleren weer leegmaak.

Kan ik nog meer doen om de sessies te beveiligen of zit ik zo wel goed?

Ik zou er nog vier aan toevoegen:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).
 
Thomas van den Heuvel

Thomas van den Heuvel

17/02/2017 14:40:42
Quote Anchor link
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 15:06:10
Quote Anchor link
Bedankt voor alle tips en reacties.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)


Idd, gaat om beveiliging tegen CSRF, dan is het toch wel handig om hem te verwijderen.

Thomas van den Heuvel op 17/02/2017 14:40:42:
In het ergste geval kaapt iemand een lege sessie ;-). Niet zo bijzonder boeiend lijkt mij. Maar het is een state change, da's waar :].


Nee precies. Het is wel een kwestie van 'het kan geen kwaad om het er toch tussen te zetten' maar ik ben sowieso niet zo dol op overbodige code.

Ward van der Put op 17/02/2017 08:37:37:

- alles over SSL (anders is de sessie-ID uit HTTP-headers te hengelen);
- alleen HTTP-cookies gebruiken;
- een sterker hashalgoritme gebruiken (want MD5 is de standaardinstelling);
- de sessieduur voor kritieke applicaties verkorten tot 2 tot 5 minuten (vereist voor creditcardbetalingen bijvoorbeeld).


Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Sessieduur verkorten is misschien wel handig om toe te voegen aan het inogsysteem zodat het er vast in zit en ik het aan kan zetten als het in de toekomst wel eens nodig is! Heb ik er dan geen werk meer van...

Wachtwoorden in de database hash ik met Bcrypt, de gehaste sessie variabelen met sha512.
Gewijzigd op 17/02/2017 15:06:38 door Marlies Maalderink
 
- Ariën  -
Beheerder

- Ariën -

17/02/2017 15:40:56
Quote Anchor link
Marlies Maalderink op 17/02/2017 15:06:10:

Ward dank je wel voor de tips. SSL gebruik ik nu niet maar moet er nog wel op. Kost 30 euro per jaar bij mijn host (stelt ook niets voor) maar wilde nog even uitzoeken hoe het zat met gratis certificaten want daar las ik laatst ook wat over.

Dat is LetsEncrypt, en werkt eigenlijk best wel makkelijk. Ik weet niet welk controlepaneel je bij je hosting hebt, maar de meesten ondersteunen Lets Encrypt inmiddels wel. Dan kan je in no-time een gratis SSL-certificaat aanvragen en die wordt dan meteen voor je geconfigureerd. Op deze manier kan ik via DirectAdmin op gebruikersniveau in ongeveer halve minuut een domein voorzien van een mooi groen slotje. Uiteraard moet het wel in DirectAdmin aan staan. Dergelijke certificaten zijn maar 3 maanden geldig, maar met een cronjob kan je dit her-activeren eenvoudig automatiseren. Zelfs DirectAdmin kan dat.
 
Ozzie PHP

Ozzie PHP

17/02/2017 16:07:32
Quote Anchor link
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.

Thomas van den Heuvel op 17/02/2017 14:40:42:
Ozzie PHP op 16/02/2017 21:11:22:
Gewoon zorgen dat er iedere keer als je het formulier aanroept een nieuwe token wordt gegenereerd.

Maar als je de verwerkstap rechtstreeks aanroept (zonder het formulier te herladen) dan staat de poort dus continu open als je het token niet elke keer invalideert in de verwerkstap.

(ik ga er hierbij vanuit dat we het over tokens hebben die CSRF zouden moeten voorkomen)

Ik snap wat je bedoelt. Als het een losse stap is, is dat inderdaad het geval. Bij mij zit het iets anders in elkaar waardoor dat niet gebeurt, maar ik snap wat je bedoelt.
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 16:20:05
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Ward van der Put op 17/02/2017 08:37:37:
Ozzie PHP op 16/02/2017 21:11:22:
>>> de user agent en het ip adres worden opgeslagen als er iemand inlogt (gehashed samen met het wachtwoord)

Dit kun je beter niet doen. Een IP-adres kan gedurende de sessie wijzigen.

Dat kun je beter wél doen inclusief eventuele proxy. Hoewel een IP-adres inderdaad kan wijzigen, is het tijdens één sessie toch veel vaker vast dan variabel.

Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet. Tegenwoordig is het helemaal niet meer vreemd dat een IP-adres wijzigt tijdens een sessie. Denk bijv. maar aan mensen die in de trein of auto zitten van of naar hun werk. Tegenwoordig is een IP-adres (helaas) geen vast gegeven meer. Het is bijzonder vervelend als je tijdens je treinrit continu wordt uitgelogd omdat je IP-adres wisselt, of dat daardoor je aankoop mislukt.


Daar moest ik inderdaad wel aan denken, op een mobiele telefoon wippen mensen nauurlijk van het ene naar het andere wifi netwerk. Misschien gewoon een beetje per situatie beoordelen. Ik laat het er nu in ieder geval in staan, maar als de situatie het verlangd zou het er uit kunnen. Vind het toch wel prettig om het er in te hebben.

Ward, nou, beetje een domper. Mijn host heeft een eigen control panel.

Dan houdt het op. Ze ondersteunen LetEncrypt ook niet. Ze bieden zelf gratis gebruik van SSL certificaten aan, maar als je die gebruikt kun je niet tegelijkertijd ook je domeinnaam gebruiken. Ik heb dat gisteren al nagevraagd. In plaats van je eigen domeinnaam kijg je dan zoiets: https://a3652ffd.servage-customer.net Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...
 
Ward van der Put
Moderator

Ward van der Put

17/02/2017 16:28:50
Quote Anchor link
Ozzie PHP op 17/02/2017 16:07:32:
Mja, daar kun je dus over discussiëren. De vraag is dan in welk geval je er iets mee doet.

Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Het is gebruikelijk dat je een IP-adres in elk geval logt bij de log-in, in de sessie zelf of voor langere tijd in een database. (Bij bedrijfskritieke applicaties log je zelfs alles.) Als jij ineens vanaf een ander IP-adres een groot bedrag naar het buitenland zou willen overmaken, dan denk ik dat ik je even zou bellen, als ik jouw bank was...

Dat sommige gebruikers geen vast IP-adres hebben, wil nog niet zeggen dat je niets kunt doen met/voor de gebruikers die wél een vast IP-adres hebben. Sterker nog, voor streng beveiligde applicaties gebruiken we zelfs een white list: staat je IP-adres niet op de lijst, dan kom je er niet in.
 
Ozzie PHP

Ozzie PHP

17/02/2017 17:37:31
Quote Anchor link
>> Das ook niet echt fraai. Dan toch eerdaags maar even een certificaat kopen...

Of op zoek naar een andere host ;-)

>> Jij gebruikt zelf al maanden hetzelfde IP-adres, dus daar kunnen we inderdaad over discussiëren. ;-)

Correct, en velen met mij. Maar ik representeer helaas niet alle internetgebruikers :-) En ja, er zijn er dus ook een hele hoop die op en neer rijden terwijl ze surfen. Het lijkt me wel iets om mee rekening te houden. Het regenereren van een sessie ID bij een wisselend IP-adres is geen probleem, maar iemand uitloggen kan wel degelijk een probleem zijn.
 
Bart V B

Bart V B

17/02/2017 18:50:16
Quote Anchor link
>> Ze ondersteunen LetEncrypt ook niet.
Uhm... Je hebt toch een VPS?
Anders heb ik het helemaal mis hoor.
Maar mocht het zo zijn, dan is Let's encrypt harstikke makkelijk.
Je moet even dit lezen: https://letsencrypt.org/getting-started/
Ik weet niet welke distro je gebruikt maar daar hebben ze een super handige oplossing voor:
https://certbot.eff.org/

Nog even alles aan elkaar knopen in je apache config dat het aan je domein zit, en klaar ben je. ;)
 
Marlies Maalderink

Marlies Maalderink

17/02/2017 20:55:53
Quote Anchor link
Nee, heb ik niet, ik heb gewoon shared. Ik koos daar ooit voor omdat je bij het shared pakket véél (oneindig) meer dataverkeer hebt en bovendien meer opslag. Tegenwoordig is dat niet zo belangrijk meer voor me, misschien moet ik eens mijn pakket veranderen. De laatste tijd wel meer beperkingen ontdekt, zoals geen OpCache. (Wat voor drupal8 en laravel wel prettig is)
Gewijzigd op 17/02/2017 20:56:34 door Marlies Maalderink
 
Thomas van den Heuvel

Thomas van den Heuvel

18/02/2017 00:25:21
Quote Anchor link
@vast IP, volgens mij moet het mogelijk zijn om iets slims te doen met enkel de user agent en een random string met voldoende "entropie" zoals aangehaald in een ander draadje.
 

Pagina: « vorige 1 2



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.