Comparaison entre KernelCare
et Canonical Livepatch

Comme d'autres grands fournisseurs de Linux, Canonical a développé son propre outil de correction en direct pour Ubuntu : Livepatch. Le live patching est censé éliminer les temps d'arrêt en appliquant instantanément les mises à jour de sécurité critiques du noyau, sans redémarrage ni fenêtre de maintenance.

Mais Livepatch n'est pas à la hauteur dans les domaines les plus importants. Ne couvrant que 5 à 10 % des CVE d'Ubuntu, il laisse de nombreuses vulnérabilités à haut risque non corrigées, ce qui affaiblit l'objectif même de l'application de correctifs en direct. Et malgré ces lacunes, le prix à payer est élevé.

KernelCarede TuxCare, une alternative plus performante et plus complète, offre une couverture des vulnérabilités pouvant atteindre 100 % sur plusieurs distributions Linux. Contrairement à Livepatch, il garantit une sécurité ininterrompue sans aucun compromis. Examinons de plus près les différences entre ces deux solutions.

Nos recherches ont révélé que Canonical Livepatch ne corrige que 5 à 10 % de toutes les CVE d'Ubuntu, laissant la plupart des vulnérabilités non traitées. Cela crée un faux sentiment de sécurité pour les administrateurs système - alors que certaines mises à jour sont appliquées, des risques critiques subsistent, obligeant finalement les équipes à programmer des redémarrages pour sécuriser entièrement leurs systèmes.

Mais si des redémarrages fréquents sont toujours nécessaires, Livepatch ne répond pas à la promesse principale des correctifs en direct : éliminer les temps d'arrêt et assurer une protection continue. Au lieu de cela, les administrateurs doivent toujours planifier des fenêtres de maintenance, supporter des interruptions de service et gérer des failles de sécurité persistantes, ce qui offre peu d'avantages réels par rapport aux méthodes de correction traditionnelles.

À l'inverse, KernelCare propose une solution de correctifs en temps réel véritablement complète. Elle fournit des correctifs pour toutes les vulnérabilités traitées par l'éditeur, mais va même plus loin : elle corrige également les vulnérabilités que l'éditeur ne traite pas, mais qui affectent un grand nombre de systèmes ou qui font l'objet d'exploits actifs dans la nature.¹

¹ Selon le catalogue de la CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Les correctifs en direct devraient éliminer le besoin de redémarrer le serveur, mais la plupart des solutions n'abordent pas les vulnérabilités critiques de l'espace utilisateur. Alors que le noyau Linux est couramment corrigé sans redémarrage, OpenSSL et glibc - des composants clés dans la plupart des environnements Linux - nécessitent toujours un redémarrage complet du serveur pour appliquer les correctifs de sécurité. Cela laisse les systèmes exposés à des vulnérabilités à haut risque et oblige les administrateurs à programmer des fenêtres de maintenance perturbatrices, ce qui compromet les principaux avantages de l'application de correctifs en direct.

Les vulnérabilités d'OpenSSL et de la glibc ne sont pas moins dangereuses que les CVE du noyau, certaines ayant entraîné des incidents de sécurité majeurs par le passé. Malgré cela, Canonical Livepatch se limite à la correction du noyau et n'offre aucune protection pour ces bibliothèques critiques. Par conséquent, les entreprises doivent encore supporter des temps d'arrêt et des failles de sécurité, ce qui fait que, dans la pratique, il n'est pas meilleur que les correctifs traditionnels.

Pour résoudre ce problème, KernelCare propose une véritable mise à jour sans redémarrage sur l'ensemble de la pile. Il étend la mise à jour en direct au-delà du noyau pour couvrir les bibliothèques partagées critiques, garantissant ainsi une sécurité continue sans nécessiter de redémarrage ni de temps d'arrêt.

Le Live patching devrait fournir une sécurité continue, mais Canonical impose une limite de temps stricte. Les noyaux Ubuntu LTS GA disposent d'une fenêtre de support glissante de 13 mois pour Livepatch. Si un système n'a pas été redémarré au cours de cette période, les administrateurs doivent installer la dernière mise à jour du noyau et redémarrer pour continuer à recevoir les correctifs en direct. Cela oblige les organisations dont les cycles de maintenance sont plus longs à adapter leur calendrier, sous peine de perdre la prise en charge des correctifs en direct.

Cette limitation compromet la flexibilité que le live patching est censé apporter. Au lieu d'éliminer les temps d'arrêt, elle ne fait que retarder le besoin de redémarrage, laissant les administrateurs limités par le calendrier de publication d'Ubuntu.

KernelCare supprime ces restrictions en proposant des correctifs en temps réel sans délai de redémarrage imposé. Les entreprises peuvent ainsi bénéficier d'une protection continue pour leurs noyaux existants, sans contraintes de temps artificielles ni redémarrages inutiles.

Les correctifs en direct devraient offrir une certaine flexibilité, mais la plupart des solutions manquent d'une fonctionnalité essentielle : le retour en arrière sans redémarrage. Dans certains cas, un correctif peut avoir des effets inattendus dans certains environnements, comme l'impact sur les performances observé avec les atténuations Spectre et Meltdown. Lorsque des mesures alternatives sont disponibles, les administrateurs doivent avoir la possibilité de revenir sur les changements de manière transparente.

KernelCare résout ce problème en permettant de revenir à une version antérieure sans avoir à redémarrer le système, ce qui permet aux administrateurs de rétablir rapidement la stabilité du système si nécessaire.

Canonical Livepatch, cependant, ne prend pas en charge les retours en arrière sans redémarrage. Si un correctif doit être annulé, les administrateurs sont obligés de redémarrer le système, ce qui entraîne des interruptions de service coûteuses et limite l'efficacité des correctifs en direct.

D'une simple commande, KernelCare rétablit l'état précédent sans interruption de service, offrant ainsi aux administrateurs un contrôle total sur leur processus de mise à jour.

La plupart des solutions de live kernel patching sont limitées à une seule distribution, et Canonical Livepatch ne fait pas exception - il ne prend en charge que les systèmes Ubuntu avec les versions les plus récentes du noyau. Cela fonctionne si l'ensemble de votre infrastructure fonctionne avec les dernières versions d'Ubuntu, mais de nombreuses organisations s'appuient sur plusieurs distributions pour différents cas d'utilisation, car certaines sont mieux adaptées à des charges de travail spécifiques. Par conséquent, Livepatch n'offre qu'une couverture partielle, ce qui laisse des lacunes dans votre stratégie d'application de correctifs en direct.

KernelCare, quant à lui, élimine ces limitations en prenant en charge un éventail bien plus large de distributions. Il propose des correctifs en temps réel pour Ubuntu, Debian, RHEL, Oracle Linux, AlmaLinux, Rocky Linux, Amazon Linux et bien d’autres encore, couvrant ainsi plus de 60 versions de distributions Linux destinées aux entreprises et bien plus de 9 000 combinaisons de distributions et de versions de noyau.

Avec KernelCare, plus besoin de jongler entre plusieurs solutions. Il offre une approche unifiée et complète de l'application de correctifs à chaud, garantissant une protection continue sur l'ensemble de votre environnement Linux.

Canonical Livepatch n'est pas l'option la plus chère, mais elle n'est pas non plus la plus abordable - et elle ne peut pas être achetée en tant que produit autonome. En outre, il n'est pas possible de l'acheter en tant que produit autonome. Au lieu de cela, il est fourni avec un abonnement Ubuntu Pro, qui exige que les utilisateurs s'inscrivent par le biais de leur compte Ubuntu One.

Le prix de Livepatch varie entre 225 et 3 400 dollars par machine et par an, selon le niveau d’abonnement. En revanche, KernelCare de TuxCare est proposé à partir de 50 dollars par serveur et par an, tout en offrant une compatibilité plus large et des correctifs complets sans redémarrage, au-delà du simple système Ubuntu.

Passer de Canonical Livepatch à KernelCare est un jeu d'enfant. L'installation ne nécessite qu'un seul script en ligne de commande – c'est aussi simple que d'activer Livepatch.

Une fois déployé, KernelCare fonctionne silencieusement en arrière-plan, appliquant les correctifs de sécurité sans perturber les opérations.

Pour ceux qui envisagent de changer de système, KernelCare propose une version d'essai gratuite de 30 jours avec toutes les fonctionnalités, ce qui vous permet de bénéficier d'une sécurité ininterrompue avant de vous engager.

Le choix de la bonne solution de patching sans redémarrage dépend de vos besoins. Si votre infrastructure se compose uniquement de systèmes Ubuntu et que vous êtes déjà abonné à Ubuntu Pro, Livepatch peut sembler une option raisonnable - bien que ses limites, notamment la couverture restreinte des vulnérabilités et l'accent mis exclusivement sur les correctifs du noyau, doivent être prises en compte.

KernelCare offre une solution flexible et économique aux organisations qui cherchent à réduire leurs coûts, à prendre en charge plusieurs distributions Linux ou à optimiser leur sécurité. Il assure une couverture des vulnérabilités pouvant atteindre 100 % pour les CVE corrigées par les éditeurs, comblant ainsi les failles de sécurité laissées par d’autres solutions. Contrairement à Livepatch, il étend la protection au-delà du noyau aux bibliothèques critiques de l’espace utilisateur, sans nécessiter de redémarrage.

Grâce à des mises à jour plus complètes, une compatibilité élargie et un coût réduit, KernelCare tient pleinement sa promesse fondamentale en matière de mises à jour sans redémarrage : minimiser les temps d'arrêt, réduire les risques de sécurité et simplifier les opérations.