Comparando o KernelCare
com o Livepatch da Canonical

Assim como outros grandes fornecedores de Linux, a Canonical desenvolveu sua própria ferramenta de correção dinâmica para o Ubuntu: o Livepatch. A correção dinâmica tem como objetivo eliminar o tempo de inatividade ao aplicar atualizações críticas de segurança do kernel instantaneamente — sem reinicializações nem janelas de manutenção.

Mas o Livepatch deixa a desejar justamente onde mais importa. Ao cobrir apenas 5 a 10% das CVEs do Ubuntu, ele deixa muitas vulnerabilidades de alto risco sem correção, enfraquecendo o próprio objetivo da aplicação de patches em tempo real. E, apesar dessas lacunas, seu custo é elevado.

Como uma alternativa mais robusta e completa, o KernelCareda TuxCare oferece cobertura de vulnerabilidades de até 100% em várias distribuições Linux. Ao contrário do Livepatch, ele garante segurança ininterrupta sem comprometer o desempenho. Vamos analisar mais detalhadamente como essas duas soluções se comparam.

Nossa pesquisa revelou que o Livepatch da Canonical corrige apenas 5% a 10% de todas as vulnerabilidades (CVEs) do Ubuntu, deixando a maioria delas sem correção. Isso cria uma falsa sensação de segurança para os administradores de sistema — embora algumas atualizações sejam aplicadas, riscos críticos permanecem, forçando, em última instância, as equipes a programar reinicializações para proteger totalmente seus sistemas.

Mas, se ainda forem necessárias reinicializações frequentes, o Livepatch não cumpre a promessa central da aplicação de patches em tempo real: eliminar o tempo de inatividade e garantir proteção contínua. Em vez disso, os administradores ainda precisam planejar janelas de manutenção, lidar com interrupções no serviço e gerenciar brechas de segurança persistentes — o que oferece pouca vantagem real em relação aos métodos tradicionais de aplicação de patches.

Em contrapartida, o KernelCare oferece uma solução de correção em tempo real verdadeira e abrangente. Ele fornece correções para todas as vulnerabilidades abordadas pelo fornecedor e vai ainda mais longe: corrige vulnerabilidades que o fornecedor não aborda, mas que afetam um grande número de sistemas ou estão sendo ativamente exploradas na prática.¹

¹ De acordo com o catálogo da CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog

A aplicação de patches em tempo real deveria eliminar a necessidade de reinicializações, mas a maioria das soluções não consegue resolver vulnerabilidades críticas no espaço do usuário. Embora o kernel do Linux seja comumente atualizado sem reinicializações, o OpenSSL e a glibc — componentes essenciais na maioria dos ambientes Linux — ainda exigem uma reinicialização completa do servidor para aplicar correções de segurança. Isso deixa os sistemas expostos a vulnerabilidades de alto risco e obriga os administradores a programar janelas de manutenção que causam interrupções, prejudicando os principais benefícios da aplicação de patches em tempo real.

As vulnerabilidades do OpenSSL e da glibc não são menos perigosas do que as CVEs do kernel, tendo algumas delas levado a graves incidentes de segurança no passado. Apesar disso, o Canonical Livepatch se limita à aplicação de patches no kernel, não oferecendo proteção para essas bibliotecas críticas. Consequentemente, as organizações ainda precisam lidar com tempo de inatividade e brechas de segurança, o que, na prática, não o torna melhor do que a aplicação tradicional de patches.

Para resolver esse problema, o KernelCare oferece atualizações sem reinicialização em toda a pilha. Ele amplia a aplicação de patches em tempo real para além do kernel, abrangendo bibliotecas compartilhadas críticas — garantindo segurança contínua sem a necessidade de reinicializações ou tempo de inatividade.

A aplicação de patches em tempo real deveria garantir segurança contínua, mas a Canonical impõe um prazo rigoroso. Os kernels do Ubuntu LTS GA têm um período de suporte variável de 13 meses para o Livepatch. Se um sistema não tiver sido reiniciado dentro desse período, os administradores devem instalar a atualização mais recente do kernel e reiniciar o sistema para continuar recebendo patches em tempo real. Isso obriga as organizações com ciclos de manutenção mais longos a ajustar seus cronogramas ou correr o risco de perder o suporte à aplicação de patches em tempo real.

Essa limitação prejudica a flexibilidade que a aplicação de patches em tempo real deveria oferecer. Em vez de eliminar o tempo de inatividade, ela simplesmente adia a necessidade de reinicializações, deixando os administradores limitados pelo cronograma de lançamentos do Ubuntu.

O KernelCare elimina essas restrições, oferecendo patches em tempo real sem prazos obrigatórios para reinicialização. As organizações podem manter proteção contínua para seus kernels existentes, sem limites de tempo artificiais e sem reinicializações desnecessárias.

A aplicação de patches em tempo real deveria oferecer flexibilidade, mas a maioria das soluções carece de um recurso essencial: a reversão sem reinicialização. Em alguns casos, um patch pode causar efeitos inesperados em determinados ambientes, como o impacto no desempenho observado com as medidas de mitigação do Spectre e do Meltdown. Quando há medidas alternativas disponíveis, os administradores precisam ter a capacidade de reverter as alterações de forma contínua.

O KernelCare resolve esse problema ao permitir a reversão sem a necessidade de reinicialização, possibilitando que os administradores restaurem rapidamente a estabilidade do sistema, se necessário.

O Canonical Livepatch, no entanto, não oferece suporte à reversão de patches sem reinicialização. Se for necessário reverter um patch, os administradores são obrigados a reiniciar o sistema, o que resulta em interrupções de serviço onerosas e limita a eficácia da aplicação de patches em tempo real.

Com um único comando, o KernelCare restaura o estado anterior sem tempo de inatividade — proporcionando aos administradores controle total sobre o processo de aplicação de patches.

A maioria das soluções de aplicação de patches em tempo real no kernel se limita a uma única distribuição, e o Livepatch da Canonical não é exceção — ele oferece suporte apenas a sistemas Ubuntu com versões mais recentes do kernel. Isso funciona se toda a sua infraestrutura for executada nas versões mais recentes do Ubuntu, mas muitas organizações utilizam várias distribuições para diferentes casos de uso, já que algumas são mais adequadas para cargas de trabalho específicas. Como resultado, o Livepatch oferece apenas cobertura parcial, deixando lacunas na sua estratégia de aplicação de patches em tempo real.

O KernelCare, por outro lado, elimina essas limitações ao oferecer suporte a uma gama muito mais ampla de distribuições. Ele oferece correção dinâmica para Ubuntu, Debian, RHEL, Oracle Linux, AlmaLinux, Rocky Linux, Amazon Linux e muitas outras — abrangendo mais de 60 versões de distribuições Linux de nível empresarial e bem mais de 9.000 combinações de distribuição e versão do kernel.

Com o KernelCare, não é preciso lidar com várias soluções ao mesmo tempo. Ele oferece uma abordagem unificada e abrangente para a aplicação de patches em tempo real, garantindo proteção contínua em todo o seu ambiente Linux.

O Canonical Livepatch não é a opção mais cara, mas também não é a mais acessível — e não pode ser adquirido como um produto independente. Em vez disso, ele vem incluído em uma assinatura do Ubuntu Pro, exigindo que os usuários se inscrevam por meio de suas contas do Ubuntu One.

Os preços do Livepatch variam de US$ 225 a US$ 3.400 por máquina, por ano, dependendo do plano de assinatura. Em contrapartida, o KernelCare da TuxCare custa a partir de US$ 50 por servidor, por ano — além de oferecer compatibilidade mais ampla e aplicação abrangente de patches sem reinicialização, indo além do Ubuntu.

A mudança do Canonical Livepatch para o KernelCare é muito fácil. A instalação requer apenas um único script de linha de comando – tão simples quanto ativar o Livepatch.

Depois de implantado, o KernelCare é executado silenciosamente em segundo plano, aplicando correções de segurança sem interromper as operações.

Para quem está pensando em mudar, o KernelCare oferece um período de teste gratuito de 30 dias com todas as funcionalidades – permitindo que você experimente a segurança ininterrupta antes de se comprometer.

A escolha da solução correta de aplicação de patches sem reinicialização depende das suas necessidades. Se sua infraestrutura for composta exclusivamente por sistemas Ubuntu e você já for assinante do Ubuntu Pro, o Livepatch pode parecer uma opção viável — embora seja preciso levar em conta suas limitações, incluindo a cobertura restrita de vulnerabilidades e o foco exclusivo em patches do kernel.

O KernelCare oferece uma solução flexível e econômica para organizações que buscam reduzir custos, oferecer suporte a várias distribuições Linux ou maximizar a segurança. Ele oferece cobertura de vulnerabilidades de até 100% para CVEs corrigidos pelos fornecedores, eliminando brechas de segurança deixadas por outras soluções. Ao contrário do Livepatch, ele estende a proteção além do kernel para bibliotecas críticas do espaço do usuário – sem a necessidade de reinicializações.

Com uma aplicação de patches mais abrangente, maior compatibilidade e menor custo, o KernelCare cumpre integralmente a promessa central da aplicação de patches sem reinicialização – minimizando o tempo de inatividade, reduzindo os riscos de segurança e simplificando as operações.