Pourquoi automatiser les mises à jour du noyau Linux ?

Les logiciels sont complexes et en constante évolution. Les bogues sont inévitables. Avant l'ère de l'internet, les bogues n'étaient que des défauts à corriger. Aujourd'hui, ce sont des opportunités, l'un des moyens pour les pirates d'obtenir un accès non autorisé aux systèmes. Le secteur de la cybersécurité se nourrit de cette menace. Leurs produits "défendent" et "protègent", mais ne peuvent pas combler une simple faille de sécurité : l'exploitation des vulnérabilités qui persistent dans les systèmes d'exploitation et les applications obsolètes et non corrigés.

Cet article passe en revue le contexte de ce problème et donne des conseils pour y remédier en utilisant des paquets de mise à jour sans surveillance pour Ubuntu, Red Hat et Fedora, ainsi que des solutions de correction en direct de KernelCare, Kgraft, Ksplice et Livepatch.

Le changement sous stéroïdes

Le développement de logiciels connaît une crise silencieuse.

Pour les programmeurs, les choses n'ont jamais été aussi bonnes. Leur travail touche tant de personnes dans presque tous les domaines de la vie. Les opportunités qui s'offrent aux développeurs sont stratosphériques, et les possibilités qui s'offrent à nous, les utilisateurs, sont époustouflantes.

Paradoxalement, les choses n'ont jamais été aussi difficiles pour les programmeurs. La pression exercée sur eux pour qu'ils apprennent et créent de nouvelles choses n'a jamais été aussi forte. Bien avant de couper une seule ligne de code, ils passent des heures à lire et à apprendre les langages, à les relire et à les réapprendre lorsque les API et les comportements changent. Les langages ont même leur propre "hit parade" mensuel (www.tiobe.com), et les programmeurs qui postulent auprès des géants de la technologie doivent avoir au moins six langues sur leur CV pour avoir une chance d'obtenir un entretien. L'époque où l'on obtenait un emploi avec un K&R déchiré et une photocopie de l'antisèche SQL est révolue.

Il n'y a plus de héros

Et il n'y a plus de héros. Aujourd'hui, ils travaillent tous en équipe et s'appuient sur le travail des équipes. Leurs membres sont éloignés et flexibles, connectés et enthousiastes, mais peu d'entre eux se rencontrent en personne. Le code est transmis en cascade à d'autres équipes qui le testent, l'étendent et font de leur mieux pour le casser.

Tout cela prend du temps, mais il n'y a pas de temps, car vous et moi attendons les nouveautés, la prochaine itération, la dernière mise à jour. Nous l'obtenons sous la forme d'un code qui vient s'agglomérer en une grande boule de bulles d'air d'efforts humains concentrés appelée " release". C'est le produit d'un grand nombre de personnes qui écrivent du code dans de nombreux langages. C'est le changement sous stéroïdes, et le prix est le progrès.

Lire la suite : Assurer la conformité grâce à une gestion plus rapide des correctifs

Le bon, le mauvais et le câlin

Comment la complexité des logiciels devient un risque.

Tout d'abord, convenons que le progrès est une bonne chose. Donc, si le progrès est bon, le changement est bon. Mais le changement est synonyme de risque, et ce n'est pas une bonne chose, car un code qui change constamment présente un plus grand risque de bogues. Avant l'ère de l'internet, les bogues n'étaient que des bogues. Même si des risques se cachaient dans les bogues non intentionnels et non détectés, il y avait une limite à leur portée et à leur effet. À l'ère de l'internet, les limites ne s'appliquent plus.

Avec l'explosion de l'interconnectivité entre les applications, les bogues ne sont plus seulement un inconvénient. Ils sont devenus une opportunité pour une espèce de programmeurs dont le talent égale celui des créateurs du code. Il s'agit de programmeurs qui essaient de casser le code. Ils portent différents noms et travaillent à des fins diverses. Le nom le plus populaire est celui de hackers, et leurs objectifs sont multiples.

Je vois trois types de pirates : les bons, les mauvais et les câlins. Les bons sont la communauté des chercheurs actifs, qui sondent constamment les logiciels nouveaux et anciens à la recherche de vulnérabilités. Les câlins le font pour le plaisir et les sensations fortes, pour la réputation et l'éducation. Les méchants le font pour toutes ces raisons, mais surtout pour l'argent, ou son équivalent, les données.

L'angle mort de la cybersécurité

Les logiciels obsolètes sont une faille dans la cybersécurité.

La cybersécurité est un secteur vaste et en pleine expansion. Il existe une pléthore de produits parmi lesquels on peut choisir, qui contribuent tous, dans une certaine mesure, à protéger les systèmes informatiques contre l'infiltration et l'exploitation illégales. Ces produits comportent des scanners de logiciels malveillants et de virus, des pare-feu de différents types, des vérificateurs de connexion et de mots de passe et des renifleurs de données, différents composants, chacun conçu pour se défendre contre une méthode, ou un vecteur, d'attaque différent.

Mais ils ont un angle mort. Même le produit de sécurité le plus sophistiqué ne peut pas protéger totalement un système qui n'est pas à jour. Il devrait être simple de maintenir les logiciels à jour en permanence, mais ce n'est pas le cas. Cela se voit dans les nombreux incidents enregistrés de systèmes compromis par des vulnérabilités dans des logiciels obsolètes.

Posons donc la question suivante : "Pourquoi les systèmes deviennent-ils obsolètes ?"

La réponse la plus évidente est que nous les laissons faire. L'installation et la mise à jour des systèmes demandent du temps et des efforts. Nous devons programmer des temps d'arrêt, nous connecter, exécuter des commandes ou utiliser une interface graphique. C'est fastidieux et ennuyeux. Nous pouvons être amenés à répéter ces opérations plusieurs fois par an sur des dizaines, voire des centaines de serveurs.

La tâche est plus facile avec les outils de gestion de la configuration des serveurs. Ainsi, tous les serveurs sont mis à jour en même temps. Mais les bons outils coûtent cher, et les outils gratuits demandent du temps pour les apprendre - peu d'entre nous peuvent se permettre l'un ou l'autre. Nous pouvons créer des scripts, mais cela nécessite des compétences en programmation que certains d'entre nous n'ont pas.

Le point de vue de Linux

Linux ne peut pas s'auto-mettre à jour comme le font les autres systèmes d'exploitation.

Jusqu'à présent, tout ce qui a été dit s'applique à la plupart des plates-formes informatiques contemporaines, grand public et non mobiles. Je voudrais maintenant me concentrer sur un sous-ensemble d'entre elles, la communauté des serveurs Linux. Linux a évolué différemment des autres systèmes d'exploitation. Il a commencé comme un hobby, en se basant sur MINIX. Il s'est développé grâce à l'effort de la communauté, principalement non commerciale. Au fur et à mesure que le nombre de plates-formes Linux vivantes augmentait, leur attrait pour la communauté des pirates informatiques s'est accru. La popularité de Linux en tant que plateforme d'hébergement flexible et bon marché a également exercé un attrait. Les hackers en raffolent : Un seul serveur héberge souvent des centaines de sites web, et un site piraté peut devenir une passerelle vers d'autres sites sur le même serveur.

Linux dispose d'un large réservoir de logiciels libres et bien supportés, et d'une multitude de distributions actives, tels sont les avantages du développement de la communauté open source. Les inconvénients sont que les fonctionnalités évoluent lentement, peut-être en raison du phénomène de conception par comitépeut-être parce que la plupart des développeurs contributeurs ne travaillent pas pour rien.

Par exemple, Linux ne dispose toujours pas d'un outil de gestion des logiciels complètement intégré, automatique et à mise à jour automatique, bien qu'il existe des moyens de le faire, dont certains seront présentés plus loin. Même avec ces outils, le noyau du système central ne peut pas être mis à jour automatiquement sans redémarrage.

Nous voyons ici une autre raison pour laquelle les systèmes deviennent si facilement obsolètes : la volonté d'éviter les temps d'arrêt. Les administrateurs de serveurs peuvent décider de donner la priorité aux utilisateurs actifs et aux applications critiques, et de remettre à plus tard l'installation de correctifs qui nécessitent un redémarrage du système.

Le murmure d'un paranoïaque

Mais parmi toutes ces raisons, il en est une que les administrateurs système préfèrent taire. Il s'agit de la crainte que le serveur ne redémarre pas, qu'un correctif casse quelque chose. Cette crainte n'est pas toujours reconnue parce qu'elle relève de la paranoïa et qu'elle est impossible à prouver.

Je pense qu'il s'agit d'une inquiétude légitime. Un correctif du noyau est, après tout, une modification du cœur du système d'exploitation. Il existe des correctifs mal écrits et il n'est pas rare que des correctifs cassent ou modifient subtilement un système. Qu'il s'agisse d'une modification des performances ou des fonctionnalités, pour la plupart des gestionnaires qui s'occupent de systèmes actifs, aucune de ces modifications n'est acceptable.

Combler la faille de sécurité de Linux

L'automatisation des mises à jour de Linux améliore la sécurité.

Vous pouvez vous-même mettre à jour automatiquement les applications et les noyaux Linux en combinant un programme de planification, tel que cronavec le responsable des paquets de votre plateforme, comme par exemple yum, aptou dnf. Certains vendeurs de Linux ont créé des paquets qui font des mise à jour sans surveillance pour vous. Et comme pour tout ce qui concerne Linux, chaque saveur le fait différemment.

• Debian et Ubuntu avoir le unattended-upgrades l'emballage.
• Fedora dispose de dnf-automatic pour les mises à jour automatiques.
• Red Hat propose yum-cron (uniquement disponible via le canal supplémentaire, c'est-à-dire payant).

Cependant, toute personne qui utilise ces produits sans reconfigurer les paramètres est susceptible de recevoir un choc de ce type à un moment ou à un autre :

The computer needs to restart to finish installing updates.

En effet, contrairement aux applications, les mises à jour sans surveillance ne signifient pas que vous pouvez installer des mises à jour du noyau sans redémarrer.

Et il y a une faille dans la sécurité. Personne ne souhaite redémarrer arbitrairement des serveurs en cours d'utilisation. C'est pourquoi les noyaux sont généralement exclus des configurations de mise à jour sans surveillance. Mais les noyaux obsolètes sont des noyaux vulnérables, et les noyaux vulnérables sont susceptibles d'être exploités.

Article connexe : 5 mauvaises raisons de mettre à jour votre noyau

Chaînes manquantes et lacunes

La réponse à ce dilemme est le live patching. Il s'agit d'un moyen de maintenir les noyaux à jour avec les derniers correctifs de sécurité sans avoir à subir un redémarrage ou à tolérer un temps d'arrêt. C'est le chaînon manquant dans l'automatisation complète de votre stratégie de mise à jour du système Linux.

Comme pour la mise à jour sans surveillance, chaque fournisseur de Linux pratique le live patching différemment. De plus, il n'est pas facile de le faire gratuitement ; le live patching est devenu trop utile pour ne pas être commercialisé.

Pour Ubuntu, le service Canonical Livepatch installe les correctifs de sécurité du noyau Linux sans redémarrage. Red Hat a lancé Kpatch, et SUSE Kgraft, tous deux dans le même but, les deux fournisseurs n'ayant été incités à agir que lorsqu'Oracle a acheté Ksplice, pour ensuite retirer le support pour tout ce qui n'était pas leur propre version. Un sauveur improbable est apparu en 2014 lorsque KernelCare a rejoint le marché, prenant en charge tous les principaux fournisseurs et des noyaux aussi anciens que 2.6.18.

Obtenir un essai GRATUIT de 7 jours de KernelCare 

Conclusion

Automatisez vos mises à jour Linux pour des raisons de sécurité et non de commodité.

Linux bénéficie et souffre à la fois de la manière dont il est développé. Aucune préoccupation en matière de cybersécurité ne peut résoudre le problème des vulnérabilités non corrigées.

Bien qu'il existe des solutions pour la mise à jour automatique des applications, le noyau reste le point faible : une mise à jour implique presque toujours un redémarrage.

Le live patching comble les lacunes des stratégies de mise à jour automatique. Vous devriez le considérer comme un élément essentiel de la stratégie de sécurité de votre serveur Linux, et non comme une simple commodité.