17 мая вышла очередная версия биллинг-панели для хостингов - AVA-Panel, 2.1.2 (http://ava-panel.ru). Биллинг является скриптом написанным на языке php. Помимо систем приема и учета платежей система предоставляет еще и возможности полноценной CMS и способна вписываться практически в любой дизайн за счет гибкости шаблонов примененных при создании биллинга.

Для минимизации возможности по взлому приняты серьезные меры, например пароли доступа к базе данных шифруются, что редко встречается в скриптах. Кроме того предусмотрено 4 уровня безопасности при взаимодействии с БД (предполагается 4 пользователя с разными правами доступа к базе). Доступ к панели админа закрывается как привычным способом (с использованием сессий), так и с использованием .htaccess + .htpasswd (вы сами можете выбрать способ доступа), а принимаемые из форм данные жестко определены на сервере и посетитель не сможет ввести в форму дополнительное поле и отправить в нем свою информацию, поскольку если скрипт обнаружит что пришли данные которых он не ожидает, он прекратит обработку запроса.

AVA-Panel поддерживает неограниченное количество серверов, таким образом одинаково подойдет как для крупной компании с десятками серверов, так и для реселлера. Для одного хостинг-проекта нужна только 1 лицензия и одна копия панели.

Поддерживаются DirectAdmin, cPanel, автоматическая регистрация доменов для RuCenter. AVA-Panel обладает широкими возможностями по добавлению дополнительных модулей, поэтому в ближайшее время функциональность системы будет существенно увеличена.

Есть поддержка электронных платежных систем, в т.ч. WM-Merchant, Yandex.деньги, Money@mail.ru, RuPay, а также формы квитанций для оплаты через Сбербанк и Счетов для оплаты юр. лицами. Вы сможете самостоятельно добавить свой собственный способ оплаты.

AVA-Panel - не только система учета платежей и заказов, в нее встроена полноценная CMS и партнерская программа.

Кроме стандартного набора услуг (хостинг, рагистрация доменов, VDS, Dedic, Colocation) Вы сможете добавить свои. Например помимо хостинга Вы занимаетесь раскруткой сайтов. Вы сможете позволить своим пользователям оформлять заказы на эту услугу с использованием AVA-Panel. Также есть поддержка добавления скидок для Ваших клиентов, причем как простых , так и сложных, основанных на участии нескольких услуг в заказе, особенностях оплаты и др., что расширяет маркетинговые возможности вашей компании и позволит Вам привлечь дополнительных клиентов.

Также в панели предусмотрен конструктор тарифных планов и возможность расчета и заказа индивидуальных тарифных планов.

Не понял, если честно, чем 4 пользователя увеличивают безопасность

Панель под Zend, цена смешная, но установить, что самое интересное не смог, глюк на глюке, была с десятой попытки установлена суппортом. Однако уровнем работы был не удовлетворен и забил на нее. Минус на вермя тестирования - необходимость ставить в корень скрипт.

Одно дело если и от администратора и от клиентов к MySQL идет подключение под одним и тем же пользователем, другое - если пользователю MySQL подключающемуся от имени администратора предоставить все права, а пользователю подключающемуся от имени клиентов только SELECT и UPDATE и то не на все таблицы, что по задумке должно уменьшить возможности написания эксплоитов.

Жаль, но только по задумке.

Несколько месяцев пользуюсь этой панелью, до этого перебрал все существующие Российские разработки, конечно есть минусы в оформлении , но недавно появился первый темплэйт, по функциональности и надёжности нареканий нет, панель ещё молодая, она совершенствуется, но чувствуется серьзноё отношение разработчиков к своему проекту, учитываются все недостатки и баги и во время устраняются, надеюсь, что это будет одна из лучших панелей Российских програмистов!

Панель с whm через key работает или через пароль?

Через пароль. Пробовали адаптировать через key, но регулярно проявляется глюк со стороны cPanel, приводящий к невозможности такой работы, поэтому отказались.

Глюки инсталлятора в первую очередь сводились к неправильным значениям переменных окружения Apache, что приводило к неправильным значениям предлагаемым скриптом по умолчанию при установке. Сейчас эта проблема решена, все значения предлагаемые скриптом по умолчанию лишний раз проверяются на корректность.


Ограничение снято в новой версии

Во первых никто под администратором не подключается к БД из скриптов. Это уже по умолчанию.
Во вторых, кто сможет сделать SELECT сможет сдампить базу и ваши 4 пользователя уже не спасут.

Затем интерфейс просто ужасный. Писать ссылки как обычный текст. Ваш суппорт вынесут за первые 2-3 дня.

Затем "Данные биллинг-аккаунта" должны быть разбиты для физического и юридического лица. Данные которые не редактируются не должны быть похожи на поле ввода.

При попытке заказа:
Не найдено данных запроса на сервере, возможно потеряна сессия или слишком старый запрос

Из-за него уже отпало смотреть далее. Наиболее важный момент, чтоб клиент смог добавить заказ.

Поэтому продукт очень сырой. Возможно уже используется в компании и его решили выставить на продажу. Для "администратора клиента" он может и подойдет, а для просто клиента нет. ГЛАВНОЕ ПРОСТОТА.

Под администратором имеется в виду не root, а некий пользователь MySQL (например User1 которому даны все права на все таблицы внутри БД, но который не имеет полномочий root для MySQL), под пользователем понимается пользователь MySQL User2, которому даны полномочия SELECT и UPDATE, причем не на все таблицы.

Про то что сдампить можно при наличии прав SELECT - не спорю, но идеала нет. Зато DELETE FROM TABLE уже не сделаешь.


Если Вы страничку с формой сохранили на диск, так что можно поправить HTML-код, а потом попробовали отправить на сервер, то так и будет. Сервер откажется принимать данные формы которую он пользователю не отправлял.

Другая возможность подобного результата - если вы открыли несколько окон с формами, длительное время просматривали одно, потом решили отправить данные из другого. Если Вы открываете несколько окон, то сервер ждет результатов в течение 20 минут от каждого, потом удаляет данные запроса, чтобы не нагружать систему. Если окно одно - то результаты ожидаются пока окно не закрыто. Но согласитесь пользователь не будет тратить 20 минут на заполнение 3-4 полей в форме заказа.


Здесь не спорю, но согласитесь, что сделать одновременно безопасный, многофункциональный и простой продукт не очень-то просто. Мы в настоящий момент работаем над тем чтобы совместить эти три качества.

В любом случае спасибо за высказанное мнение.

Понятно. Почему-то у профессиональных биллингов, работающих с key подобных проблем не наблюдается. И учитывая проблемы, которые описаны - над биллингом надо работать, работать и еще раз работать.

А есть ли принципиальная разница? У нас самописанный биллинг и реселинг-аккаунт под cPanel. Тоже постоянно глюк был - cPanel падала и возобновить доступ через key удавалось только после переустановки акка, переделали под пароль - все более-менее стабильно. Может просто cPanel криво стояла?

Нет, cPanel криво не стояло - это биллинг самописный.

Принципиальная разница в том, что могут украсть пароль а могут украсть ключ по которому есть доступ только к whm
Разницу думаю объяснять ненадо?

Можно и объяснить, потому что доля справедливости в этом в общем-то есть. Хотя безопасность конечно лишней не бывает, но все же.

Дак он в bPanel хранится в открытом виде, а в Ava-panel шифруется, для этого и рекомендуется поддержка mcrypt в php. Однако даже если mcrypt не установлен, все равно панель использует свой собственный алгоритм, правда сравнительно примитивный

/offtopic/
используем по hash в своем биллинге, ни одной проблемы не было. Может что-то не так делаем.
в cepanel (clientexec) тоже по хешу сделано. аналогично.

Объясняю. С паролем можно зайти и прочитать почту, можно зайти по ssh, и вообще если серверов несколько - пытаться подобрать к ним доступ на основе этого пароля

С whm key такого не произойдет. Безопасности никогда не бывает много

Это понятно. Но мы специально дали ссылку на тот пост. Что из перечисленного Вами нельзя сделать если уже добрался до whm key?

Ничего нельзя.
Можно открыть себе новый пустой хостинг акконт или (в крайнем случае) удалить акконт клиента. И то, и другое будет сообщено на мыло админу и он немедленно примет меры - удалит чужой акк, восстановит нужный и изменит кей.
Доступа к чтению чего - либо (файлы, почта, настройки) или административных прав на сервере кей не даёт.

Естественно не дает, это очевидно.
Вопрос в другом - какого уровня доступ на сервер должен уже иметь потенциальный взломщик если его доступа было достаточно что бы прочитать кей и на что еще этого доступа хватит. Вы же понимаете, что кей не лежит в открытом виде для публичного скачивания и что бы его получить нужно уже взломать сервер?

Совсем не обязательно.
Авторизация по паролю - намного большие возможности доступа и дальнейшего взлома.
Кей же может быть перехвачен, считан, может быть украден из бэкапа, да мало ли - ну и что?
Суть ни в этом - кей биллинга это минимум прав и информации из возможного. Это тупик для злоумышленника.

А Вы попробуйте 100 запросов за пол-часа на сервер сделать

Понятно что подобное возможно лишь на этапе тестирования, хотя если предположить что админ чистит базу от "мертвых душь" и одновременно переносит акки с сервака на сервак...

Опять же по хорошему при повышенной нагрузке cPanel должен резать избыточные запросы а не падать (падает кстати не все а толко авторизация).

P.S. Доступ по key или доступ по паролю - в любом случае доступ открывается, если key или пароль украсть, так что единственное решение - шифровать, что key, что пароль. Не знаю как в "профессиональных биллингах", а у нас пароли шифруются.

P.P.S. В следующей версии доступ будет или по key или по паролю - на выбор админа

Если биллинг живет на хостинге, то достаточно купить там хостинг.
Так как у большинства хостингов php скрипты работают из под пользователя вебсервера, то прочитать файл с ключем/паролем становится потенциально возможно.

Вам, как разработчикам на php, это должно быть и так понятно.



Каким образом пароль шифруется?

У нормального хостера файлы соседей читаться не должны. Вам это, как администратору серверов под хостинг, должно быть и так понятно
Мы давно уже ни у кого не замечали что бы срабатывал phpremoteview и его пёрловые аналоги.

Дайте мне хостинг с mod_php и я с вероятностью 80% достану из аккаунта чужой файл.
Как - не скажу, но способов обхода openbasedir есть масса. Главное чтоб не safe_mode или чтоб нужные функции небыли отключены.

А это означает что закрыть от доступа чужие файлы можно если админ грамотный, так что давайте из этого исходить.

По любому, билингу не место на общем хостинге

Используется расширение Mcrypto, остальное по этому вопросу есть коммерческая тайна.

Ну это у кого много серверов, а как быть тем у кого их несколько?





Как более менее грамотный админ, я могу сказать что с mod_php их потенциально закрыть нельзя, разве что настроить mod_php так, чтоб каждый виртуалхост работал со своим юзером с правами на все файлы ( user:user 600/700
Но так как настройка будет стоить дороже чем среднестатистический vds, то грамотно закрыть можно дешевле и проще при помощи vds.

Взять vds пусть даже за 5 баксов? Чай не разоряться

Мне понравилось Ваше совместное решение по повышению безопасности биллинговой системы.
Купить VDS у третьей стороны и повесить туда финансовые данные своего хостинга, базу клиентов, доменов и т.д... Ну ооочень секурно, прям блеск!
VDS - (если я правильно понимаю ), это часть чьего то чужого сервера. Так он еще и падать может.

Утрируете Параноить нужно сбалансировано. Если у хостера нет своего сервера для биллинга (а заметьте, мы отвечали именно на такую ситуацию), он наверняка купит сервер для хостинга у третей стороны, наймет админов для сервера в лице третей стороны, так что "третья сторона" уже в деле. То что биллинг тоже будет висеть у третей стороны, у какой-нибудь солидной компании для которой этот хостер "неуловимый джо" это рисков практически не увеличит, а уж что падать будет чаще - вдс или сервер с клиентами это вопрос спорный.

У большинства хостеров, имеющих от 1 до 10 серверов, нет отдельного сервера для биллинга.
Они же зачастую не предоставляют услуги VDS и соответственно не имеют VDS для себя.
И я не уверен, что VDS, приобретённый у третьей стороны будет иметь 99.99.

P. S. Мы углубились, речь то была о разнице между кеем и паролем. Ключ в данном случае - лучше.
----------
Добавлено: Гарантии не даст никто и никогда.
Но это как автомобильная сигнализация - она не от угона Вашей машины как таковой, она для того, чтобы первой угнали машину соседа, у которой сигнализации нет!

Зато мы абсолютно уверены что у рабочего сервера такого аптайма точно не будет.
Да это очевидно. Нас все что интересовало - это насколько (грубо говоря) разворочен наш сервер если кто-то добрался до кея. Честно говоря до сих пор этого не поняли. Единственно кто сказал по делу - это eSupport с доступом к файлам, но и то, его аргумент из серии "можно взломать все".

http://host-tracker.com/ru/website-monitor...tistics/197681/
Это один из рабочих серверов, с реальными живыми клиентами, сайтами, досками обьявлений, газетами, дорвеями и пр, пр, и пр. - "никогда не говорите никогда!" и уж тем более "абсолютно уверены"

Пример не принимается. Вы хочите занудства, Вы его таки получите
а) метод head, значит мускул и пхп вместе с сайтом как таковым могли лежать хоть все 144 дня
б) проверка раз в 5 минут, а это значит что всего одинадцать 2 минутных перерывов в работе пришедшихся не на время проверки уже выбьют аптайм из заявляемых 99.99%.
в) http://bash.org.ru/quote/48730
Можете показать пример сайта проверяемого по get по ключевой фразе выводимой из БД с диапозоном проверки хотя бы 1 минута и сроком 1 год, располагающегося на реальном рабочем сервере сделанном под не дорогой хостинг хостером имеющим не более 10 серверов и управляемых сторонними админами?
P.S.: А то мы так и 100% можем показать

Так как одна из точек Host-tracker расположена на моих серверах, я знаком с системой и не ставлю период 1мин, жалея и себя, и коллег-хостеров, держащих другие точки. Оно неплохо грузит, должен отметить.
За mysql не боюсь, она стоит как стена, могу дать посмотреть логи mysql-long.log - они пустые.
Дело здесь не в хитро поданной проверке - просто впомните анекдот "не жалейте заварки". На сервере в настоящий момент 130 аконтов, среди них нет "грузил", и заполнение его давно закончено...

P.S. Мы опять уходим от темы.

А настройка? Она далеко не 5$ будет стоить.





Хотите сделать экспиримент - возьмите vds с апачем и пыхпыхом as is, дайте доступ под openbasedir и сделайте во втором аккаунте какой-то файл. Я его достану

если третий аккаунт будет мой - я достану оба аккаунта-соседа

Вам бы все что-нибудь понастраивать И так без настроек работает.
Мы же сказали взять вдс специально под биллинг, так что никаких вторых аккаунтов там не будет. А кроме того, мы уверены, что Вы и пароль достаните, поставив сниффер или еще чего-нибудь и остальные секретные данные, так что это все из серии "сервер не в шкафу значит не безопасен":)
Все, мы больше не оффтопим Занесло. Извиняемся.

В Европе я не знаю датацентра, который даёт такой аптайм.
Практически сам VDS имеет аптайм ноды, дальше всё в руках хозяйна VDS. Нода имеет аптайм лучше, чем любой рабочий сервер и практически аптайм ноды равняется аптайму конкретной ветки датацентра. при любых проблемах на ноде, VDS немедленно переносится на другую ноду. Так ка на самой ноде нет никаких сервисов, взлом практически исключён. Мне лично даже мысли нет, смотреть что клиентов творится на VDS. Если они и просит что сделать, то даром не особенно хочется залезать туда. И о воровсрве данных наверно не стоит говорить.
Билингу действительно лучше всего жить на небольшом и недорогом VDS. Обычно за 10 долларов более чем достаточно. На таких серверках спокойно живут практически все билинги, за исключением наверно Modernbill. Этому монстру надо ресурсы умножать на 3.
esupport говорит правду, практически все сервера с DirectAdmin прозрачные, закрывать дорого, да и нет смысла. По любому mod_php лучшее решение для хостинга. Сервера с cPanel на много безопаснее, easyapache всё таки на много облегчает жизнь.

Боюсь что vds за 5$ без настроек не потянет биллинг...





Что DA, что cPanel, что PSA - одинаково используют mod_php по умолчанию со всеми последствиями...

Неохота давать живые примеры и явно показать разницу, но Вы очень не правы, и сами это знаете

Ну так напишите в личку и дайте доступ к аккаунту в cpanel с _дефолтными_ настройками и я все покажу

Вышла очередная версия AVA-Panel. В новой версии полностью решен вопрос интеграции с cPanel из-за которого разгорелась дискуссия. Теперь поддерживается авторизация как по key так и по паролю (на выбор админа). Как key так и пароль по-прежнему шифруются.