Comparaison entre KernelCare et
Oracle Ksplice

Oracle a été l'un des pionniers de l'application de correctifs Linux sans redémarrage. Ksplice applique des correctifs au noyau sur des serveurs en fonctionnement depuis bien avant que la plupart des éditeurs ne proposent des solutions comparables. La technologie fonctionne. La vraie question est de savoir ce que cela vous coûte de l'utiliser.

Ksplice n’est pas un produit autonome. Il s’agit d’une fonctionnalité incluse dans Oracle Linux Premier Support ; ainsi, l’application de correctifs sans redémarrage est fournie avec un abonnement coûteux au support Oracle et, de plus en plus souvent, avec le noyau d’Oracle. Il n’applique en temps réel qu’une sélection de vulnérabilités, même parmi celles classées « critiques » et « importantes »; il ne corrige les bibliothèques critiques de l’espace utilisateur qu’après un redémarrage unique qui met une grande partie de la pile hors ligne, et il oblige les systèmes à utiliser le noyau d’Oracleavant de pouvoir les corriger. Il en résulte une mise à jour à chaud qui laisse des failles, impose des temps d’arrêt et rapproche progressivement votre parc informatique d’Oracle.

La solution KernelCare de TuxCare a été conçue pour éviter cela. Elle corrige toutes les vulnérabilités du noyau et de l'espace utilisateur critiques, quelle que soit la distribution sur laquelle le système fonctionne déjà, pour 50 $ par système et par an. Le tableau comparatif ci-dessous détaille les différences entre les deux solutions.

	Oracle Ksplice	KernelCare
Distributions prises en charge	Oracle Linux (noyaux UEK / compatibles Red Hat) et Ubuntu ; les noyaux RHEL ne sont pas pris en charge	Oracle Linux 6 – 10, Ubuntu, Debian, RHEL, AlmaLinux, Rocky et bien d'autres encore
Vulnérabilités corrigées	🟡 Sélection de vulnérabilités CVE importantes et critiques	✅ Toutes les vulnérabilités CVE, quelle que soit leur gravité
Architectures prises en charge	x86-64, arm64	x86-64, arm64
Couverture des composants critiques de l'espace utilisateur (OpenSSL, glibc)	🟡 Oui, mais uniquement pour les versions compatibles avec Ksplice sous Oracle Linux (pas sous Ubuntu), et avec un redémarrage unique	✅ Oui
Durée de vie des correctifs du noyau	🟡 Prend fin lorsque le noyau n'est plus répertorié dans la liste des versions prises en charge ou lorsque le contrat de support Premier arrive à échéance	✅ Pratiquement illimité
Corrections en temps réel pour systèmes d'exploitation en fin de vie	🟡 Uniquement via le module complémentaire payant « Oracle Linux Extended Support », dont la couverture se limite aux errata critiques uniquement	✅ Oracle Linux 6, 7, ainsi qu'Ubuntu, RHEL, AlmaLinux et bien d'autres encore
Fonctionnalité de retour en arrière sans redémarrage	✅ Oui	✅ Oui
Gestion centralisée en mode « air-gap »	❌ L'option d'hébergement autonome n'est plus prise en charge	✅ Inclus (ePortal)
API disponible	✅ Oui	✅ Oui
Livraison de patchs personnalisés	❌ Indisponible	✅ Entièrement géré
Compléments	-	LibCare, écussons personnalisés
Coût	Assistance Oracle Linux Premier : 1 399 $ par paire de processeurs et par an (Premier Plus : 2 499 $)	À partir de 50 $ par système et par an ; tarifs dégressifs disponibles

Le graphique montre les points de divergence entre les deux. La suite de cette comparaison explique ce que chacune de ces différences implique pour les systèmes que vous utilisez concrètement.

Rares sont les environnements qui n’utilisent qu’une seule distribution ; c’est pourquoi la première question à se poser concernant un outil de correction est de savoir quelle partie de cet ensemble il est capable de couvrir. Dans le cadre de son offre « Premier Support », Ksplice assure la maintenance des noyaux UEK et RHCK d’Oracle, ainsi que d’Ubuntu. Il est important de noter qu’Oracle ne assure plus la maintenance des correctifs Ksplice pour le noyau RHEL; RHEL ne fait donc pas partie de l’ensemble couvert par cet outil.

KernelCare adopte une approche diamétralement opposée. Il applique des correctifs en temps réel à plus de 70 versions de distributions dès son installation — RHEL, AlmaLinux, Rocky Linux, Ubuntu, Debian, Oracle Linux, Amazon Linux, CloudLinux et bien d’autres —, ce qui permet de gérer un environnement hétérogène à l’aide d’un seul outil et d’un seul processus de travail.

L’intérêt même des correctifs en temps réel est de corriger rapidement les vulnérabilités ; la première question qui se pose donc est de savoir lesquelles un outil corrige réellement. D’après nos propres recherches, Ksplice ne corrige qu’une sélection de CVE, même parmi celles classées « critiques » et « importantes ». Oracle attribue également ses propres niveaux de gravité, qui peuvent être inférieurs à la note attribuée à un CVE dans la National Vulnerability Database. Ces niveaux de gravité sont basés sur des configurations standard ; ainsi, une faille à laquelle Oracle n'accorde pas la priorité peut tout de même constituer une véritable exposition à des risques dans certaines configurations. En l'absence de correctif en temps réel, la correction devra attendre la prochaine mise à jour du noyau et un redémarrage.

KernelCare élimine toute incertitude en appliquant des correctifs en temps réel à toutes les vulnérabilités CVE du noyau, quel que soit leur niveau de gravité. Ainsi, votre couverture ne dépend pas de la note attribuée à une vulnérabilité CVE donnée.

L'application de correctifs en temps réel devrait garantir la sécurité de l'ensemble du système sans nécessiter de redémarrage, mais la plupart des outils n'interviennent jamais sur les bibliothèques critiques OpenSSL et glibc. Ksplice propose certes l'application de correctifs critiques dans l'espace utilisateur, mais uniquement pour les versions de bibliothèques compatibles avec Ksplice, ce qui nécessite tout de même un redémarrage unique. Étant donné que ces bibliothèques sont à la base de la quasi-totalité des applications que vous exécutez, ce redémarrage peut entraîner l'arrêt d'une grande partie de votre pile.

KernelCare comble cette lacune grâce à LibCare, qui applique des correctifs aux bibliothèques partagées OpenSSL et glibc en mémoire sur l’ensemble des distributions prises en charge, sans avoir à redémarrer les applications qui en dépendent. L’application de correctifs aux composants critiques de l’espace utilisateur sans temps d’arrêt permet aux équipes de respecter les délais de mise en conformité imposés par les normes PCI DSS et FedRAMP, et de satisfaire aux exigences de sécurité SOC 2 et HIPAA sur les systèmes qui ne peuvent pas être mis hors ligne.

Avec Ksplice, les correctifs sont appliqués tant que le noyau figure sur la liste des versions prises en charge par Oracle et que votre abonnement Premier est actif. Dès que l’une de ces conditions n’est plus remplie (lorsque le noyau n’apparaît plus sur la liste ou que l’abonnement prend fin), vous devez exécuter la commande « yum update » et redémarrer le système pour continuer à bénéficier des correctifs.

KernelCare n'impose aucune limite de durée pour l'application des correctifs. Il corrige le noyau chargé tant que vous continuez à l'utiliser, sans nécessiter de redémarrage forcé pour maintenir la protection.

Il arrive fréquemment que les charges de travail continuent d’être utilisées bien au-delà de la période de support de leur distribution. Une fois celle-ci terminée, les mises à jour de sécurité fournies par le fournisseur cessent, et ce sont souvent les systèmes que vous pouvez le moins vous permettre de redémarrer ou de réinstaller ; c’est pourquoi l’application de correctifs à chaud revêt une importance capitale. Ksplice continue d’appliquer des correctifs à une version au-delà de cette période uniquement si vous souscrivez au service « Oracle Linux Extended Support », qui limite la couverture aux errata critiques, ne dure que quelques années supplémentaires et s’applique uniquement à Oracle Linux.

KernelCare, en revanche, continue de fournir des correctifs en temps réel pour les distributions en fin de vie telles qu’Oracle Linux 6 et 7 ; ainsi, les systèmes que vous ne pouvez pas mettre hors service dans les délais prévus restent protégés pendant que vous planifiez la migration selon votre propre calendrier.

À une échelle réelle, l’application de correctifs en temps réel doit être gérée de manière centralisée, de plus en plus souvent au sein de réseaux sans accès à Internet. Ksplice et KernelCare permettent tous deux d’appliquer des correctifs sur un réseau isolé. La différence réside dans la gestion. Avec Ksplice, le produit auto-hébergé qui centralise cette gestion, Oracle Linux Manager, n’est plus pris en charge, et son remplaçant, OS Management Hub, doit rester connecté au cloud d’Oracle. Dans un environnement véritablement isolé (air gap), vous devez alors gérer manuellement les miroirs locaux et les clients hors ligne.

KernelCare intègre ePortal, un serveur de correctifs auto-hébergé qui fonctionne au sein du réseau isolé sans frais de licence supplémentaires. Il vous offre des flux de mises à jour, des déploiements par étapes, un déploiement contrôlé et un inventaire en local, de sorte que la couche de gestion se trouve au sein de la zone isolée plutôt que dans le cloud d'un fournisseur.

Certains environnements nécessitent un correctif que le fournisseur n'a pas encore mis à disposition, ou un correctif adapté à leur configuration spécifique. Ksplice ne propose aucun correctif personnalisé. Son catalogue se limite aux correctifs fournis par Oracle pour les composants d'Oracle Linux ; tout ce qui ne figure pas dans cet ensemble n'est donc tout simplement pas disponible.

KernelCare propose des correctifs personnalisés entièrement gérés, que les ingénieurs de TuxCare développent, testent et maintiennent pour vous, y compris des versions spéciales et des configurations non standard. Vous bénéficiez ainsi du correctif dont vous avez besoin sans avoir à assumer la charge de travail ni les risques liés à la création en interne de correctifs en production.

KernelCare est proposé à partir de 50 $ par système et par an pour la correction en temps réel du noyau et fonctionne sur votre système d'exploitation existant sans nécessiter d'abonnement Oracle ni de migration du noyau. La correction en temps réel de l'espace utilisateur pour OpenSSL et glibc est disponible via le module complémentaire LibCare. Ksplice, en revanche, ne fait l'objet d'aucun coût supplémentaire mais s'appuie sur le support Oracle Linux Premier Support, dont le prix est fixé à 1 399 $ par paire de processeurs par an (Premier Plus : 2 499 $).

C'est au niveau du parc informatique que l'écart est le plus flagrant. Avec KernelCare, la couverture complète sans redémarrage pour 100 systèmes coûte environ 5 000 dollars par an. Le même parc, avec le service Oracle Linux Premier Support, revient à environ 139 900 dollars par an – soit environ 28 fois plus – sans compter les coûts d'ingénierie liés à la migration des systèmes non Oracle vers le noyau Oracle.

Si votre entreprise a déjà opté pour le support Oracle Linux Premier Support, Ksplice est inclus dans l'offre, et cela peut sembler être le choix qui s'impose. L'intérêt de cette comparaison réside dans ce que cette offre implique pour tous les autres :

• Il n'applique en temps réel que certaines vulnérabilités, même parmi celles classées « critiques » et « importantes », laissant les autres pour la prochaine mise à jour du noyau et un redémarrage.
• RHEL et d'autres systèmes doivent migrer vers le noyau d'Oracle.
• L'application de correctifs dans l'espace utilisateur nécessite des versions de bibliothèques compatibles avec Ksplice et est réservée à Oracle Linux.
• La couverture n'est valable que tant que vous disposez d'un abonnement Premier actif.
• Chaque élément de cette solution vous plonge un peu plus profondément dans l'écosystème Oracle.

KernelCare a été conçu pour éliminer ces compromis. Il applique en continu des correctifs au noyau et à l’espace utilisateur, quel que soit le niveau de gravité et bien au-delà de la fin de vie, avec des correctifs personnalisés entièrement gérés et une gestion en mode « air-gap » incluse, pour un coût bien inférieur à celui d’un abonnement Premier. Ainsi, que vous exploitiez un environnement mixte, un parc RHEL que vous préférez ne pas migrer vers le noyau Oracle, ou que vous souhaitiez simplement éviter un verrouillage plus profond auprès d’Oracle, KernelCare constitue le choix le plus complet, le plus simple et de loin le plus économique.

La migration vers KernelCare est simple et ne nécessite aucune migration du système d'exploitation. Un seul script de démarrage rapide suffit pour installer l'agent, et vos systèmes commencent alors à bénéficier de correctifs en temps réel et en continu, tant au niveau du noyau que de l'espace utilisateur critique.

Pour les équipes qui souhaitent le découvrir en avant-première, KernelCare propose un essai gratuit de 30 jours avec toutes les fonctionnalités, afin que vous puissiez vous assurer d'une couverture ininterrompue avant de vous engager.