Mise à jour du noyau Linux sans redémarrage [Présentation des outils de Live Patching].
25 juin 2020 -
📖 7 min
Auteur :
L'équipe de relations publiques de TuxCare
Accédez directement au résumé généré par l'IA de cet article de blog
La mise à jour des noyaux Linux est une routine, aussi ennuyeuse que les impôts et à peine moins gênante que la mort. De nouvelles failles de sécurité dans le noyau Linux semblent apparaître avec une régularité fastidieuse et reçoivent même des noms fantaisistes. Dans la plupart des cas, mais pas tous, les correctifs nécessaires pour y remédier suivent rapidement. Les dernières mises à jour de sécurité du noyau Linux impliquent du travail et un danger si vous tardez à le faire - si vous attendez trop longtemps, de mauvais acteurs pourraient tirer parti de la période de vulnérabilité.
Dans notre précédent article de blog consacré à ce sujet, nous avons abordé trois méthodes différentes pour mettre à jour le noyau Linux, dont deux (via la ligne de commande/yum et kexec) nécessitent un redémarrage du serveur.
Il est temps de passer en revue une autre méthode de mise à jour de sécurité du noyau Linux - le live patching du noyau sans redémarrage. Lisez la suite pour en savoir plus sur chaque outil de live patching et sur les alternatives.
Appliquer les mises à jour du noyau Linux sans redémarrer
Il arrive que les correctifs de sécurité soient supercritiques, mais il en va de même pour les processus qui s'arrêtent lorsque vous redémarrez. Si vous utilisez un système "toujours actif" ou "à haute disponibilité", vous connaissez déjà ce dilemme.
Les mises à jour du noyau Linux sans redémarrage ne remplacent pas les mises à niveau complètes du noyau, car elles n'appliquent que les correctifs pour les failles de sécurité ou les corrections de bogues critiques. Mais, dans de nombreux cas, c'est tout ce dont vous avez besoin, et il est possible de maintenir un serveur sûr et opérationnel pendant des années entre deux redémarrages en utilisant ces méthodes.
Un certain nombre de grands fournisseurs de Linux proposent des mises à jour du noyau sans redémarrage. Le choix dépend de la distribution que vous utilisez et de votre budget. Dans la suite de cet article, nous parlerons des produits suivants :
Ksplice by Oracle (pour les mises à jour d'Oracle Linux, Ksplice Uptrack pour les entreprises)
Kpatch de Red Hat (pour les mises à jour du noyau RHEL et les mises à jour CentOS)
Livepatch par Canonical (pour les mises à jour du noyau Ubuntu)
Kgraft par SUSE (pour les mises à jour de SUSE uniquement)
CloudLinux KernelCare (pour toutes les principales distributions Linux)
Ksplice a été la première implémentation commerciale de la mise à jour du noyau sans redémarrage. Ksplice Inc. a finalement été rachetée par Oracle, de sorte qu'elle n'est désormais disponible (sans surprise) que sur les distributions Oracle Linux et RedHat Enterprise Linux, et que son déploiement nécessite une licence d'Oracle.
Aucun redémarrage n'est nécessaire.
Mises à jour automatiques.
Disponible gratuitement sur les installations Linux de bureau, avec un support officiel disponible pour les distributions Linux Fedora et Ubuntu.
Ne fonctionne que pour Oracle Linux, Red Hat Enterprise Linux, CentOS et Ubuntu.
Nécessite une licence d'assistance, à partir de 1 399 $ par système et par an.
Pour le déployer, exécutez :
sudo wget -N https://ksplice.oracle.com/uptrack/install-uptrack-oc
sudo sh install-uptrack-oc -autoinstall
Notez qu'il n'y a pas de commande de redémarrage, et que vous ne devez exécuter le script d'installation qu'une seule fois au cours de la durée de vie du serveur. Ensuite, le service Uptrack détectera automatiquement les nouvelles mises à jour du noyau et les déploiera pour vous. Il n'y a pas de programmation, pas de temps d'arrêt et rien d'autre à faire.
Service Canonical Livepatch
Il s'agit de la technologie Canonical pour le live-patching des noyaux. Vous pouvez même créer vos propres correctifs, bien que cela puisse être un travail difficile et fastidieux. Certains vendeurs peuvent créer un noyau de mise à niveau Ubuntu pour vous, moyennant paiement. Ce service est disponible pour Ubuntu 16.04 et les versions ultérieures.
Aucun redémarrage n'est nécessaire.
Mises à jour automatiques du noyauGratuit pour une utilisation personnelle (jusqu'à 3 machines ou jusqu'à 50 machines pour un membre reconnu de la communauté Ubuntu)
Corrections personnalisées non triviales du noyau.
Des distributions limitées sont possibles.
Limite du nombre d'hôtes pouvant être mis à jour.
Hôtes supplémentaires payants - le prix de l'abonnement au support Ubuntu Advantage (au moins Essential) est compris entre 225 et 1 500 $/machine/an pour les serveurs physiques, et entre 75 et 500 $/machine/an pour les machines virtuelles.
Le service Canonical Livepatch est gratuit jusqu'à 3 machines pour un usage personnel ou jusqu'à 50 machines pour les membres de la communauté Ubuntu. Vous pouvez vous inscrire pour obtenir un jeton ici.
Red Hat Kpatch
Il s'agit de l'outil de correction du noyau propre à Red Hat. Il a été annoncé en 2014 et a été porté pour fonctionner sur d'autres systèmes de la même famille (Fedora, CentOS) ainsi que pour certains systèmes basés sur Debian (Ubuntu, Gentoo).
Aucun redémarrage n'est nécessaire.
Non automatisé.
Distributions limitées.
Disponible dans le cadre d'un abonnement d'assistance Premium au prix de 1299 $ par an.
Contrairement au service Livepatch d'Ubuntu ou à Ksplice d'Oracle, il n'est pas automatique et vous devez vérifier et installer manuellement chaque correctif du noyau dès qu'il est disponible.
SUSE Kgraft
Développé et annoncé presque en même temps que la solution de Red Hat, Kgraft est l'offre de correctifs en direct de SUSE (connue sous le nom de SUSE Linux Enterprise Live Patching). Elle ne concerne que le serveur Linux Enterprise 12 de SUSE et est préinstallée, de sorte qu'il n'y a vraiment rien à faire (sauf payer). Il fonctionne selon un principe différent de la plupart des autres approches, mais possède un ensemble de fonctionnalités comparable à celui de Kpatch.
Aucune installation n'est nécessaire.
Aucun redémarrage n'est nécessaire.
Prise en charge d'une plate-forme unique.
Commercial (mais il y a une généreuse période d'essai gratuite de 60 jours).
CloudLinux KernelCare
Également lancé en 2014, le service de live patching du noyau Linux de KernelCare se distingue des solutions de patching du noyau par sa couverture des OS, qui comprend CentOS, RHEL, Oracle Linux, Debian, Ubuntu et d'autres. Et comme la solution d'Oracle, KernelCare prend en charge les anciens noyaux 2.6.32 de RHEL 6.
Installation facile.
Aucun redémarrage n'est nécessaire.
Large couverture des systèmes d'exploitation (y compris l'une des versions les plus populaires de Linux, Ubuntu).
Prise en charge des correctifs personnalisés et à date fixe.
Bonne assistance et savoir-faire industriel de la part de CloudLinux.
wget -qq -O -- https://kernelcare.com/installer | bash
sudo /usr/bin/kcarectl --register <your key>
For <your key> get your trial key here.
KernelCare est une solution qui s'installe et s'oublie. Une fois installé, KernelCare télécharge et applique automatiquement les nouveaux correctifs de sécurité du noyau, sans redémarrer le serveur.
Mais contrairement à ses concurrents les plus proches, KernelCare peut gérer certains des correctifs les plus complexes pour des vulnérabilités telles que Meltdown(CVE-2017-5754), Spectre(CVE-2017-5753 & CVE-2017-5715), et plus récemment, la faille de débordement de mémoire tampon du noyau Linux connue, romantiquement, sous le nom de Mutagen Astronomy(CVE-2018-14634). KernelCare prend en charge les configurations de correctifs personnalisées, les correctifs à date fixe, les correctifs retardés et les rollbacks sans redémarrage, c'est-à-dire les suppressions de correctifs.
Comme les autres fournisseurs examinés ici, KernelCare est également issu d'une bonne lignée : son créateur est CloudLinux, le principal fournisseur de systèmes d'exploitation basés sur Linux pour l'hébergement de sites web.
Conclusion
Si votre serveur n'est pas critique et peut supporter une période hors ligne, la mise à jour du noyau est relativement simple à l'aide des outils standard de la ligne de commande.
Si vous utilisez un système toujours actif (c'est-à-dire que vous ne pouvez pas ou ne voulez pas redémarrer), jetez un coup d'œil aux solutions de correction du noyau en direct. Il en existe trois types :
Administré - vousdevez le faire vous-même. Par exemple, Kpatch, Kgraft.
Entièrement automatique - ille fait pour vous. Par exemple, Livepatch, Ksplice.
Entièrement automatique, multiplateforme avancé - ille fait pour vous, en gérant les menaces avancées sur toutes les plateformes. Par exemple, KernelCare de CloudLinux.
Si vous souhaitez en savoir plus sur la technologie live patching et sur la façon dont elle renforce la sécurité de votre infrastructure, lisez nos articles de blog les plus populaires :
Avez-vous déjà eu l'occasion d'utiliser des outils de correction en direct du noyau Linux ? Lequel vous a semblé le plus utile pour votre entreprise ? Faites-nous part de vos réflexions dans les commentaires.
Rejoignez notre bulletin d'information
Rejoignez plus de 4 500 professionnels de Linux et de l'Open Source!
2 fois par mois. Pas de spam.
Table des matières
Obtenez les réponses à vos questions sur la sécurité des logiciels libres
Support technique
Documentation
Connexion
Nous contacter
.jpg?width=999&quality=low)