Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Principaux enseignements
- Les systèmes d'exploitation en fin de vie ne reçoivent plus de mises à jour de sécurité essentielles, ce qui les rend très vulnérables à l'évolution des menaces de cybersécurité.
- Les systèmes d'exploitation en fin de vie ont souvent du mal à faire fonctionner les logiciels et le matériel modernes, ce qui entraîne des problèmes de compatibilité, une baisse des performances et une diminution de la productivité.
- Les organisations qui utilisent des systèmes en fin de vie sont confrontées à des risques juridiques et financiers accrus en raison de la non-conformité aux réglementations et des coûts élevés associés à la maintenance d'une technologie obsolète.
Il est impossible d'éviter les changements technologiques - par définition, la technologie va toujours de l'avant. C'est généralement une bonne nouvelle, mais suivre les changements peut être une autre histoire.
Les changements constants signifient que la technologie a une durée de vie limitée. Oui, vous pouvez continuer à utiliser un produit au-delà de sa durée de vie, mais cela a des conséquences. Pour les logiciels en fin de vie (EOL), ces conséquences comprennent l'instabilité, une maintenance coûteuse et, bien sûr, des risques de sécurité importants.
Dans cet article, nous expliquons ce qu'est est un système d'exploitation en fin de vie , pourquoi les organisations ne devraient jamais s'appuyer sur un système d'exploitation en fin de vie et comment le support tiers peut les aider.
Les systèmes d'exploitation ont eux aussi une fin de vie
Les éditeurs de logiciels publient constamment de nouvelles versions de leurs logiciels. Les nouvelles fonctionnalités, les corrections de bogues, etc. sont toutes regroupées dans une nouvelle version. Dans le même temps, l'éditeur continuera à assurer le support de l'ancienne version, notamment en fournissant des mises à jour de sécurité si nécessaire.
C'est le cas pour tout, des logiciels de productivité aux systèmes d'exploitation.
Toutefois, un fournisseur ne peut pas assurer indéfiniment le support d'une version plus ancienne de son logiciel. Imaginez que vous essayiez de prendre en charge un système d'exploitation vieux de trente ans. C'est possible, mais ce serait une énorme ponction sur les ressources - et quelque peu inutile.
Afin de limiter les ressources consacrées à la prise en charge d'un système d'exploitation, les fournisseurs fixent des dates de fin de vie pour les systèmes d'exploitation, après lesquelles la prise en charge officielle, y compris les correctifs pour les failles de sécurité, prend fin. À un moment donné, tous les logiciels, y compris les systèmes d'exploitation et les frameworks tels que .NET 7, atteignent un stade appelé « fin de vie » (EOL). Si certaines distributions Linux open source bénéficient de cycles de support prolongés ou de mises à jour communautaires, la plupart des systèmes d'exploitation finissent par atteindre leur EOL. La même réalité s'applique aux bases de données. Il est donc important de garder un œil sur l'EOL de PostgreSQL 13 lorsque vous planifiez des mises à niveau et des stratégies de correction.
Et cela représente un risque majeur pour tous les utilisateurs qui continuent à utiliser l'ancienne version. Oui, les choses peuvent tout simplement cesser de fonctionner une fois que le système d'exploitation arrive en fin de vie, mais ce n'est qu'une petite partie du risque. Le principal problème lié à un système d'exploitation en fin de vie concerne la sécurité. Si le fournisseur ne publie plus de correctifs pour les failles de sécurité, l'utilisateur ne peut tout simplement pas maintenir son système à jour et se retrouve avec un logiciel vulnérable.
Malheureusement, malgré le risque, il est fréquent que des entreprises continuent à dépendre d'un système d'exploitation qui n'est plus pris en charge, simplement parce que la mise à niveau ou le passage à un autre système d'exploitation est trop coûteux ou trop peu pratique.
Exemple concret : Wanna Cry et fin de vie de Windows
Il est plus courant que vous ne le pensez de s'appuyer sur un système d'exploitation en fin de vie, et cela peut même arriver dans des scénarios critiques. Mais un système d'exploitation obsolète offre des opportunités aux cybercriminels. Un système d'exploitation qui n'est plus pris en charge présentera des vulnérabilités connues, et comme le support a pris fin... bonne chance pour trouver un correctif.
À leur tour, les auteurs de menaces s'appuient sur des vulnérabilités connues pour attaquer une entreprise. Les entreprises qui utilisent un système d'exploitation en fin de vie courent le risque d'être victimes d'attaques malveillantes pouvant entraîner une interruption de service, une perte de données, voire pire.
C'est exactement ce qui s'est passé en mai 2017. Une cyberattaque massive s'est produite, au cours de laquelle l'exploit WannaCry a été utilisé pour cibler des centaines de milliers d'entreprises qui utilisaient encore Windows XP, un système d'exploitation arrivé en fin de vie trois ans plus tôt, en 2014.
Les entreprises qui utilisaient encore Windows XP n'ont pas reçu les bulletins de sécurité de Microsoft et n'ont jamais installé le correctif qui corrigeait une vulnérabilité de Windows datant de plusieurs mois, appelée EternalBlue. (La vulnérabilité était si dangereuse que Microsoft a publié un correctif d'urgence pour Windows XP, bien que ce dernier ait atteint sa fin de vie à ce moment-là).
Ce n'est qu'un exemple de vulnérabilité dans un système d'exploitation en fin de vie qui a été exploitée avec succès.
Quels sont donc les risques d'un OS en fin de vie ?
Il existe des raisons "valables" d'utiliser un système d'exploitation en fin de vie, que nous aborderons dans une section ultérieure. Cependant, même lorsque les entreprises ont une bonne raison de conserver un système d'exploitation non pris en charge, les risques sont importants et l'emportent presque toujours sur les avantages ou toute autre raison d'utiliser un système d'exploitation en fin de vie.
Conformité et risques juridiques
La cybersécurité étant un problème redoutable, de nombreux régimes juridiques et de conformité permettent de s'assurer que les entreprises respectent des normes minimales en matière de sécurité des données afin de préserver la sécurité des clients et des consommateurs.
Il est courant que ces exigences comprennent une déclaration relative à l'assistance officielle du fournisseur pour les logiciels, ainsi qu'une déclaration stipulant que le recours à des logiciels dont l'assistance a pris fin est considéré comme non conforme. La non-conformité peut entraîner de lourdes sanctions financières.
Les entreprises qui utilisent un système d'exploitation en fin de vie risquent tout, depuis des amendes jusqu'à une interdiction pure et simple d'exercer dans leur secteur. Elles peuvent se retrouver dans une situation problématique en cas de violation de la sécurité du cloud. S'il peut être prouvé qu'une attaque a réussi en raison d'une négligence, par exemple en raison de l'utilisation d'un système d'exploitation en fin de vie sans assistance du fournisseur, les entreprises peuvent également faire l'objet de poursuites judiciaires, car les personnes touchées par la violation peuvent demander réparation. De même, à l'approche de la fin de vie de PostgreSQL14, les organisations utilisant des versions non prises en charge de PostgreSQL peuvent être confrontées à des problèmes de conformité, à des poursuites judiciaires et à des sanctions financières si elles sont victimes d'une violation due à l'absence de support.
Solutions dépassées et incompatibles
Nous avons dit dès le départ que la technologie évoluait rapidement. Les entreprises qui exploitent les dernières technologies en tirent de nombreux avantages. Par exemple, en offrant de meilleurs produits et fonctionnalités à leurs clients et une meilleure expérience à leurs employés.
Un système d'exploitation en fin de vie est, par définition, un logiciel obsolète qui ne dispose probablement pas des dernières fonctionnalités et avantages. Outre le fait de freiner les solutions technologiques, les logiciels obsolètes posent un autre problème : le manque de compatibilité. En s'appuyant sur un système d'exploitation en fin de vie, les entreprises risquent de rencontrer des problèmes de compatibilité, dont l'impact ne fera que croître avec le temps.
Problèmes de fiabilité
L'une des conséquences de l'incompatibilité des logiciels est un problème de fiabilité. À un moment donné, la technologie entourant le produit en fin de vie sera mise à niveau. Le système d'exploitation en fin de vie n'est alors plus en phase avec le reste de la solution.
Cela entraînera des problèmes de fiabilité, car les fournisseurs coderont en tenant compte d'une certaine attente fonctionnelle, mais le système d'exploitation en fin de vie ne disposera pas des fonctionnalités requises. En d'autres termes, une simple mise à jour d'un composant logiciel par le fournisseur peut rendre une solution inutilisable en raison d'un système d'exploitation en fin de vie.
Coûts de croissance
Il convient également de noter que les systèmes d'exploitation en fin de vie peuvent représenter une fausse économie. C'est une leçon tirée de la récente fin de vie d'AngularJS. Certes, les entreprises peuvent réaliser des économies en retardant une mise à niveau, mais la charge de maintenance d'un système d'exploitation en fin de vie augmentera avec le temps, car il faudra trouver des solutions personnalisées pour résoudre les problèmes lorsque l'assistance du fournisseur ne sera plus disponible.
Par exemple, les équipes d'assistance informatique peuvent passer trop de temps à résoudre les problèmes liés au système obsolète.
De même, un système d'exploitation en fin de vie peut entraîner des problèmes de fiabilité qui font grimper les coûts. Pire encore, comme nous l'avons suggéré plus haut, des logiciels obsolètes peuvent entraîner des problèmes de conformité et des problèmes juridiques susceptibles de déboucher sur des amendes incroyablement coûteuses.
Risques pour la sécurité
Enfin, nous abordons le principal problème lié à l'utilisation d'un système d'exploitation en fin de vie : les risques importants pour la sécurité que comporte l'utilisation d'un logiciel qui n'est plus pris en charge. Par définition, les systèmes d'exploitation en fin de vie ne bénéficient plus des correctifs de sécurité et des mises à jour du fabricant d'origine, qui protègent les utilisateurs contre les vulnérabilités connues.
Au lieu de cela, ces risques de sécurité seront connus du public, y compris des pirates informatiques, mais il n'y aura pas de correctif fourni par le fournisseur pour protéger les utilisateurs contre le risque lorsque les pirates décideront de l'exploiter. Un seul bogue critique qui n'est pas corrigé en raison d'un manque de soutien officiel peut conduire à une violation coûteuse de la cybersécurité.
Pourquoi les entreprises finissent par dépendre des systèmes d'exploitation en fin de vie
Les problèmes qui peuvent survenir lorsque les entreprises s'appuient sur un système d'exploitation non pris en charge sont clairement importants, mais les systèmes d'exploitation en fin de vie restent courants dans les environnements d'entreprise. Cela est compréhensible, dans une certaine mesure, car il existe des raisons rationnelles de s'appuyer sur des logiciels non pris en charge.
Exigences spécifiques à la charge de travail
Il peut arriver que des fonctions, des capacités ou des caractéristiques spécifiques d'un système d'exploitation en fin de vie soient abandonnées au fur et à mesure que le fournisseur procède à des mises à jour. Parfois, les entreprises dépendent de ces fonctionnalités pour leurs solutions, et le fait que le nouveau système d'exploitation ne dispose pas de ces fonctionnalités peut signifier que les solutions tombent en panne, ou que des efforts correctifs coûteux sont nécessaires pour maintenir la fonctionnalité.
Dans ce cas, les entreprises peuvent se retrouver dans une situation difficile : elles ne peuvent pas migrer vers un système d'exploitation pris en charge parce qu'elles ne sont pas en mesure de concevoir une solution de contournement qui garantisse la continuité du fonctionnement sous le nouveau système d'exploitation.
Les ressources sont limitées
Les solutions technologiques consistent le plus souvent à essayer d'en faire le plus possible avec le moins possible. Il en résulte que les entreprises tentent de déplacer des fonds pour répondre à des priorités concurrentes. Souvent, la mise à jour des logiciels est considérée comme une priorité moindre par rapport aux nouvelles fonctionnalités souhaitées ou aux coûts d'exploitation quotidiens.
Le fait est que, dans la compétition pour les ressources, il peut y avoir des priorités plus importantes que la mise à niveau d'un système d'exploitation parfaitement fonctionnel, même s'il est arrivé en fin de vie. C'est aussi une question de temps : l'entreprise dispose-t-elle du personnel nécessaire pour effectuer les mises à niveau en toute confiance ?
Les défis de la migration
Les problèmes potentiels liés à la migration sont étroitement liés à la limitation des ressources. En particulier dans le cas où les déploiements sont à très grande échelle, la migration devient si complexe et si difficile qu'il peut sembler qu'il n'existe aucun moyen réaliste de mettre à niveau un système d'exploitation et que le maintien du système d'exploitation existant est la solution la plus sensée. Les systèmes tels qu'Ubuntu EOL peuvent entrer dans cette catégorie, où les risques liés à la migration l'emportent sur les avantages de la mise à jour du système d'exploitation.
Cela peut également se produire lorsque la migration concerne des systèmes complexes et interactifs qui s'étendent sur plusieurs départements et sur des organisations indépendantes. En fait, dans de rares cas, les risques liés à la migration peuvent l'emporter sur les risques de sécurité associés à un système d'exploitation en fin de vie.
Manque de responsabilité
Enfin, pour certaines entreprises, l'obligation de rendre compte est un défi. En d'autres termes, il n'y a pas de partie responsable en dernier ressort de la gestion de la fin de vie des logiciels. Cette situation peut être due à un manque de leadership ou à une mauvaise structure organisationnelle.
Il peut également s'agir d'une question pratique. Par exemple, il peut arriver qu'aucune partie n'ait autorité sur les solutions technologiques. C'est notamment le cas lorsque les capacités technologiques sont partagées. Dans ces circonstances, les entreprises peuvent constater que personne n'est prêt à assumer le risque ou la responsabilité de la migration et, par conséquent, la migration n'est jamais effectuée.
Centos 6 : un exemple de conservation d'un système d'exploitation en fin de vie
Fin 2020, Red Hat a annoncé qu'il ne produirait plus la version dérivée de Red Hat Enterprise Linux, CentOS, en tant que version stable. Red Hat a essentiellement accéléré la fin de vie de l'ensemble du produit CentOS en tant que version stable. En d'autres termes, les entreprises qui s'appuient sur CentOS 6 n'avaient pas de voie de mise à niveau réaliste.
La seule option pour ces entreprises était de passer à un autre système d'exploitation ou de payer pour Red Hat Enterprise Linux. Cette situation autour de CentOS 6 est typique des raisons que certaines entreprises peuvent invoquer pour continuer à utiliser un système d'exploitation qui n'est pas pris en charge.
Ce n'est pas une façon déraisonnable de penser aux systèmes d'exploitation en fin de vie, mais le fait que le chemin de mise à niveau depuis CentOS 6 soit difficile ne devrait pas l'emporter sur le fait que dépendre de CentOS 6 crée d'importants risques de sécurité.
Des possibilités d'exploitation infinies
Même s'il existe des raisons valables d'envisager l'utilisation d'un système d'exploitation en fin de vie, le problème demeure : les nouvelles failles de sécurité apparaissent sans cesse, à un rythme effréné, et un système d'exploitation en fin de vie non corrigé laisse la porte grande ouverte.
Prenons l'exemple de la menace émergente des mineurs de crypto-monnaie. Les pirates informatiques ont rapidement commencé à déployer des logiciels de minage de crypto-monnaie gourmands en ressources par des méthodes illicites, en profitant des faiblesses de Windows et de Linux pour installer des logiciels qui génèrent des profits pour le pirate au détriment de l'entreprise qui possède et exploite les ressources informatiques.
Il s'agit d'une menace particulièrement insidieuse, qui illustre les conséquences inattendues que peut avoir l'utilisation de logiciels obsolètes et non pris en charge. Dans ce cas, un système d'exploitation en fin de vie non corrigé peut signifier que les ressources d'une entreprise sont détournées pour le minage de crypto-monnaie, ce qui entraîne des dépenses plus élevées et des problèmes de fiabilité et de disponibilité.
Envisager plutôt un soutien étendu
Il existe une solution pour certains systèmes d'exploitation en fin de vie. Tout d'abord, certains fournisseurs proposent un support étendu, c'est-à-dire la possibilité de payer, parfois des sommes assez importantes, pour bénéficier d'un support continu pour un système d'exploitation qui ne bénéficie plus d'un support général. Lorsque les fournisseurs le proposent, tous les clients qui profitent de l'assistance étendue resteront conformes et sécurisés, mais à un certain prix.
Dans certains cas, des tiers proposent une assistance étendue pour un système d'exploitation. Par exemple, chez TuxCare, nous proposons support à durée illimitée (ELS) pour toute une gamme de systèmes d'exploitation serveur basés sur Linux, y compris les versions en fin de vie d'Oracle Linux, RHEL, CentOS, CentOS Stream et Ubuntu.
ELS de TuxCare comprend des correctifs complets pour garantir que toute nouvelle vulnérabilité découverte dans un système d'exploitation pris en charge, tel que CentOS 6, soient immédiatement couvertes par un correctif de TuxCare.
De plus, l'assistance TuxCare est disponible à un prix bien inférieur à celui d'une assistance équivalente proposée par les fournisseurs. Par exemple, notre CentOS 7 ELS ne coûte qu'une fraction du prix de l'équivalent Red Hat.
Dans tous les cas, les entreprises qui souscrivent à une assistance de sécurité étendue s'accordent suffisamment de temps pour mettre à niveau ou migrer le système d'exploitation dont elles dépendent. Grâce à ELS, les entreprises peuvent obtenir les ressources nécessaires pour effectuer la migration, planifier celle-ci avec soin ou simplement trouver des solutions alternatives. Plus important encore, ELS couvre les entreprises contre les risques de sécurité pendant toute la durée de vie du système d'exploitation.
