Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
- Tout comme une fondation solide est vitale pour un bâtiment, un noyau sécurisé est essentiel pour un système Linux sécurisé.
- Live patching permet d'appliquer des correctifs de sécurité à un noyau en cours d'exécution sans qu'il soit nécessaire de le redémarrer, ce qui réduit considérablement les temps d'arrêt des systèmes critiques.
- Les noyaux non corrigés peuvent exposer vos systèmes à des vulnérabilités connues, ce qui augmente le risque d'incidents de sécurité tels que les violations de données ou les accès non autorisés.
Les mises à jour du noyau Linux font partie de la vie. Elles sont aussi ennuyeuses que les impôts et à peu près aussi amusantes qu'une visite chez le dentiste. Mais les administrateurs système doivent continuer à patcher : de nouvelles failles de sécurité découvertes dans le noyau Linux semblent apparaître avec une régularité monotone. Dans la plupart des cas, mais pas tous, les correctifs nécessaires pour y remédier suivent rapidement.
L'installation des derniers correctifs de sécurité du noyau Linux représente un travail considérable et les réalités pratiques peuvent retarder l'application des correctifs. Mais si vous attendez trop longtemps, vous donnez l'occasion aux acteurs de la menace de profiter d'une vulnérabilité non corrigée.
C'est pourquoi il est essentiel de trouver le meilleur moyen de réparer le plus rapidement possible.
La popularité de Linux en tant que plateforme pour les services d'hébergement web, les serveurs web autonomes et les applications web en fait une cible de choix. Les pirates utilisent des techniques telles que l'exécution de code à distance (RCE)l'exécution de code à distance (RCE), le cross-site scripting (XSS) et les attaques par déni de service (DoS). les attaques par déni de service (DoS).
Maintenir les instances Linux à jour avec les derniers correctifs du système d'exploitation et des logiciels d'application est l'un des moyens les plus efficaces de renforcer la sécurité du système et de se protéger contre ce type de cybermenaces.
Cependant, il s'agit d'une opération perturbante et chronophage car, sous Linux, la plupart des mises à jour du noyau et des correctifs de sécurité nécessitent souvent un redémarrage du système. Cet article explique comment mettre à jour le noyau Linux sans redémarrer. Nous abordons également trois des méthodes les plus courantes pour appliquer les correctifs de sécurité du noyau Linux. Ces méthodes sont les suivantes :
- en utilisant la ligne de commande
- avec kexec
- avec des outils de correction du noyau en direct sans redémarrage: Oracle Ksplice Uptrack, Canonical Livepatch, Red Hat's Kpatch, SUSE Kgraft (SLE Live Patching) et KernelCare Enterprise.
1. Mises à jour traditionnelles en ligne de commande
Il s'agit de la méthode standard pour appliquer un correctif de sécurité du noyau Linux en utilisant le dépôt du fournisseur de la distribution. C'est la méthode que vous trouverez le plus souvent dans la documentation du fournisseur. Toutefois, de nombreuses distributions proposent désormais des gestionnaires de paquets graphiques conviviaux qui simplifient le processus de mise à jour.
Sur Ubuntu, vous pouvez utiliser ces commandes dans le terminal.
sudo apt update sudo apt upgrade linux-image-generic sudo reboot
Sous Debian, vous utilisez :
sudo apt update linux-image sudo reboot
Pour toute distribution basée sur RPM, y compris CentOS et Red Hat Enterprise Linux (RHEL), utilisez ceci :
sudo yum update kernel
sudo reboot
Jusqu'à présent, c'est facile. Mais il y a un hic : le correctif du noyau ne prendra pas effet tant que vous n'aurez pas redémarré.
Un redémarrage ? Oui. Vous devez mettre fin aux activités de vos utilisateurs, sauvegarder vos fichiers et fermer les processus, au risque de mécontenter un grand nombre de personnes. Comme ceux qui sont en train d'effectuer un achat sur votre site web, par exemple. Vous devez ensuite attendre que votre serveur Linux redémarre et retrouve son état antérieur.
Combien de temps faut-il à vos serveurs pour rebondir ? Les clients et les autres parties prenantes s'en apercevront-ils ? Même si le risque qu'ils s'en aperçoivent est faible, vous devez les avertir avant d'installer le correctif du noyau.
C'est l'une des raisons pour lesquelles de nombreux administrateurs de systèmes reportent l'installation des correctifs, évitant ainsi les temps d'arrêt mais compromettant la sécurité du système.
AVANTAGES : Pas d'installation. Processus simple.
CONS : Non automatisé. Redémarrage nécessaire.
2. kexec : redémarrage plus rapide
Lorsqu'un correctif de sécurité du noyau Linux est appliqué, un redémarrage est généralement nécessaire pour charger le nouveau noyau corrigé. Vous pouvez accélérer ce processus de redémarrage en utilisant kexecune fonctionnalité du noyau Linux qui vous permet de démarrer directement dans un nouveau noyau, sans passer par le chargeur de démarrage et les phases d'initialisation du matériel.
Pour l'utiliser, vous devez d'abord installer kexec-tools.
Sur Ubuntu/Debian :
sudo apt install kexec-tools
Vous verrez une fenêtre de configuration qui ressemble un peu à ceci :
Sur CentOS/RHEL :
sudo yum install kexec-tools
Ensuite, installez le nouveau noyau. Listez les noyaux et choisissez celui que vous souhaitez utiliser :
sudo yum update kernel
ou
sudo rpm -qa kernel
Le résultat devrait ressembler à ceci :
kernel-3.10.0-514.26.1.el7.x86_64 kernel-3.10.0-862.3.2.el7.x86_64
Démarrez maintenant avec la version du noyau que vous avez choisie :
sudo kexec -l /boot/vmlinuz-3.10.0-862.3.2.el7.x86_64 -initrd=/boot/initramfs-3.10.0-862.3.2.el7.x86_64.img -reuse-cmdline sudo sync ; sudo umount -a ; sudo kexec -e
Vous pouvez utiliser la commande suivante si vous n'avez aucune patience (mais lisez l'avertissement ci-dessous avant de le faire) :
sudo kexec -e
Remarque : Bien que kexec ne soit pas directement impliqué dans le processus de correction lui-même, il permet des redémarrages plus rapides en contournant le chargeur de démarrage habituel et l'initialisation du matériel. Cependant, cette rapidité a un coût. Contrairement à un redémarrage standard qui arrête les processus, synchronise les caches et démonte les systèmes de fichiers, kexec passe directement au nouveau noyau. Cela peut entraîner la perte ou la corruption de données si les applications en cours d'exécution ont des modifications non sauvegardées ou des gestionnaires de fichiers ouverts.
AVANTAGES : Démarrage plus rapide. Installation unique.
CONS : Plus de travail avec les doigts (et un risque d'erreur plus élevé, à moins que vous ne fassiez un bon script).
3. Mettre à jour votre noyau sans redémarrer
Oui, vous avez bien lu. Il existe un moyen de mettre à jour le noyau Linux sans redémarrer.
Il arrive que les correctifs de sécurité soient supercritiques et qu'il faille absolument les appliquer. Dans le même temps, les processus qui doivent s'arrêter lorsque vous redémarrez sont tout aussi critiques. Si vous utilisez un système "toujours actif" ou "à haute disponibilité", ce dilemme vous est familier.
Une mise à jour du noyau sans redémarrage signifie que vous pouvez "avoir le beurre et l'argent du beurre". Les mises à jour sans redémarrage, également connues sous le nom de live kernel patchingne remplacent pas les mises à jour complètes du noyau, car elles n'appliquent que des correctifs pour les failles de sécurité ou les corrections de bogues critiques.
Cependant, les mises à jour sans redémarrage sont comme une balle magique pour corriger les vulnérabilités et assurer la sécurité du noyau Linux. Si l'on considère les choses vraiment urgentes, les mises à jour pour les failles de sécurité et les corrections de bogues sont vraiment tout ce dont vous avez besoin. En utilisant des méthodes de correction en direct, il est possible de protéger un serveur contre les menaces pendant des années sans jamais le redémarrer.
De nombreux fournisseurs de Linux proposent un outil permettant d'effectuer des mises à jour du noyau sans redémarrage. L'outil que vous choisissez dépend en partie de la distribution que vous utilisez et de l'existence ou non d'un contrat d'assistance avec le fournisseur. Dans la suite de cet article, nous parlerons des produits suivants.
- Ksplice par Oracle (pour les mises à jour d'Oracle Linux, Ksplice Uptrack pour les utilisateurs en entreprise)
- kpatch par Red Hat (pour les mises à jour du noyau RHEL et les mises à jour CentOS)
- Livepatch par Canonical (pour les mises à jour du noyau Ubuntu)
- kGraft par SUSE (pour les mises à jour SUSE uniquement)
- KernelCare Enterprise (pour toutes les principales distributions Linux)
Oracle Ksplice
Ksplice a été la première implémentation commerciale des mises à jour du noyau sans redémarrage. Ksplice, Inc. a finalement été racheté par Oracle et n'est désormais disponible (sans surprise) que pour la distribution Oracle Linux. Le déploiement de Ksplice nécessite un abonnement à Oracle Linux Premier Support, ce qui peut représenter un facteur de coût important.
Pour le déployer, exécutez :
sudo wget -N https://ksplice.oracle.com/uptrack/install-uptrack-oc sudo sh install-uptrack-oc -autoinstall
Vous noterez qu'il n'y a pas de commande de redémarrage et que vous ne devez exécuter le script d'installation qu'une seule fois au cours de la durée de vie du serveur. Ensuite, le service Uptrack détectera automatiquement les nouvelles mises à jour du noyau et les déploiera. Il n'y a rien d'autre à faire - pas de programmation et pas de temps d'arrêt.
AVANTAGES : Pas de redémarrage nécessaire. Mises à jour automatiques.
CONS : Uniquement pour les versions de distribution d'Oracle. Nécessite une licence de support.
Service Canonical Livepatch
Canonical Livepatchproposé par la société à l'origine d'Ubuntu, est un outil permettant d'appliquer les correctifs de sécurité du noyau Linux sans nécessiter de redémarrage. Il vous permet également de créer vos propres correctifs, mais il s'agit d'un travail difficile et fastidieux. (Certains vendeurs peuvent créer un noyau de mise à niveau Ubuntu pour vous, moyennant paiement).
Le service Livepatch est disponible pour Ubuntu 16.04 et les versions ultérieures, ainsi que pour RHEL 7.x (beta). Livepatch est déployé comme suit :
sudo snap install canonical-livepatch
sudo canonical-livepatch enable [TOKEN]
Note : Le service Canonical Livepatch est gratuit : Le service Canonical Livepatch est gratuit pour une utilisation personnelle sur un maximum de 5 machines si vous êtes membre d'Ubuntu One. L'utilisation commerciale nécessite un abonnement Ubuntu Pro.
AVANTAGES : Pas de redémarrage nécessaire. Mises à jour automatiques du noyau.
CONS : Patchs personnalisés du noyau non triviaux. Restriction sur le nombre d'hôtes pouvant être mis à jour. Les hôtes supplémentaires et l'utilisation commerciale sont payants.
Red Hat kpatch
kpatch est l'outil de correction du noyau propre à Red Hat. Il a été annoncé en 2014 et a été porté pour fonctionner sur d'autres distributions de la même famille (Fedora, CentOS) ainsi que sur certains systèmes basés sur Debian (Ubuntu, Gentoo).
Voici un exemple de déploiement sur RHEL 7 :
sudo yum install kpatch sudo yum install kpatch-patch-X.X.X.el7.x86_64.rpm
Contrairement au service Livepatch d'Ubuntu ou à Ksplice d'Oracle, il ne s'agit pas d'un service de correctifs automatiques. Vous devez vérifier manuellement la présence de nouveaux correctifs et installer chaque correctif du noyau dès qu'il est disponible.
PRO : Aucun redémarrage n'est nécessaire.
CONS : Non automatisé. Fonctionne avec un nombre limité de distributions.
SUSE kGraft
Développée et annoncée presque en même temps que la solution de Red Hat, kGraft est l'offre de correctifs en direct de SUSE (connue sous le nom de SUSE Linux Enterprise Live Patching). Il ne fonctionne qu'avec le serveur Linux Enterprise 12 de SUSE et est préinstallé, de sorte qu'il n'y a rien d'autre à faire que de le payer. Il fonctionne sur un principe différent de la plupart des autres approches, mais dispose d'un ensemble de fonctionnalités comparable à kpatch.
AVANTAGES : Aucune installation n'est nécessaire. Pas de redémarrage nécessaire.
CONS : Prise en charge d'une seule plate-forme. Commercial (mais essai gratuit de 60 jours).
KernelCare Enterprise
Service de correctifs en direct du noyau Linux de TuxCare, KernelCare Enterprisese distingue des solutions de gestion des correctifs du noyau que nous avons examinées jusqu'à présent pour deux raisons. Tout d'abord, KernelCare couvre un large éventail de distributions Linux, notamment CentOS, RHEL (dès RHEL 6), Oracle Linux, Debian, Ubuntu, et bien d'autres encore. Ensuite, KernelCare est plus abordable que la souscription à un contrat d'assistance spécifique à un fournisseur, comme ceux énumérés ci-dessus.
Voici comment installer KernelCare :
wget -qq -O -- https://kernelcare.com/installer | bash sudo /usr/bin/kcarectl --register <your key>
KernelCare est une solution qui s'installe et s'oublie. Une fois installé, KernelCare télécharge et applique automatiquement les nouveaux correctifs de sécurité du noyau Linux sans redémarrer le serveur.
Mais, contrairement à ses concurrents les plus proches, KernelCare peut gérer un grand nombre des correctifs les plus complexes qui sont requis pour les vulnérabilités, y compris la célèbre vulnérabilité Meltdown (CVE-2017-5754) et Spectre (CVE-2017-5753 & CVE-2017-5715).
KernelCare vous protège également contre les vulnérabilités complexes plus récentes, notamment la vulnérabilité Dirty Pipes (CVE-2022-0847). Pour suivre l'état de publication des correctifs en direct pour les vulnérabilités du noyau Linux (CVE), vous pouvez utiliser le suivi CVE de TuxCare.
Vous bénéficiez également d'un riche ensemble de fonctionnalités, car KernelCare prend en charge les configurations de correctifs personnalisées, les correctifs à date fixe, les correctifs différés et les retours en arrière sans redémarrage qui vous permettent de supprimer un correctif sans redémarrer.
À l'instar des autres fournisseurs examinés ici, KernelCare est également issu d'un solide pedigree Linux : KernelCare a été créé par CloudLinuxle principal fournisseur d'un système d'exploitation Linux dédié à l'hébergement web.
AVANTAGES :
- Installation facile. Pas de redémarrage nécessaire.
- Large couverture des systèmes d'exploitation (y compris l'une des versions les plus populaires de Linux, Ubuntu).
- Prise en charge des correctifs personnalisés et à date fixe.
- TuxCare vous apporte son soutien et son savoir-faire.
CONS :
- Commercial (mais il y a un essai gratuit). Il existe également une licence KernelCare gratuite pour les organisations à but non lucratif.
Obtenir une version d'essai GRATUITE de KernelCare Enterprise
Réflexions finales
Le maintien de la sécurité du noyau Linux est une bataille permanente. Il est essentiel de vérifier régulièrement la présence de mises à jour et de les appliquer rapidement pour garder une longueur d'avance sur l'évolution des cybermenaces. La mise à jour du noyau est relativement simple à l'aide des outils de ligne de commande standard, mais uniquement si votre serveur n'est pas critique et si vos utilisateurs peuvent supporter qu'il soit mis hors ligne pendant un certain temps.
Si vous utilisez un système toujours actif, ou si vous ne pouvez ou ne voulez pas redémarrer, vous devez envisager des solutions de correction du noyau en direct. Il en existe trois types :
- Administré : vous déclenchez vous-même les correctifs sans redémarrage. Par exemple kpatch, kGraft
- Entièrement automatique : les correctifs sans reboot se font automatiquement. Par exemple Livepatch, Ksplice
- Entièrement automatique, avancé et multiplateforme : il le fait pour vous, gère également les menaces avancées et fonctionne sur toutes les distributions Linux courantes. Par exemple KernelCare Enterprise
Dans de nombreux cas, en particulier lorsque vous dépendez de différentes distributions Linux et que vous n'avez pas de contrat d'assistance avec un fournisseur, KernelCare Enterprise vaut le coup d'œil.
Si vous souhaitez en savoir plus sur la technologie live patching et sur la façon dont elle renforce la sécurité de votre infrastructure, vous pouvez lire certains de nos articles de blog les plus populaires :
- Qu'est-ce que le Live Patching du noyau Linux ?
- Démystifier la sécurité du noyau Linux : La nécessité de patcher le noyau Linux
- Les multiples facettes du rapiéçage
- Pourquoi le Live Patching est un outil de cybersécurité qui change la donne
- Démystifier les mythes sur le correctif du noyau Linux
