Il était une fois une belle idée de la sécurité informatique. Proposer tous les deuxièmes mardi du mois, une compilation de correctifs poussés automatiquement dans Windows Update. C'était en octobre 2003 : le patch Tuesday était né et tout le monde semblait ravi. Les administrateurs tout d'abord. Ils n'ont plus à batailler avec un flux imprévisible de mises à jour. Et comme ils savent exactement ce qui va arriver et quand, ils peuvent tranquillement planifier l'installation des correctifs. Mieux : ce rythme mensuel a permis une prise de conscience de l'importance des mises à jour de sécurité, dans les entreprises comme pour le grand public.
Mais depuis quelques mois, le Patch Tuesday est plus redouté qu'attendu. Celui de cette semaine, par exemple, le KB 2878890, oblige les machines XP et Windows Server 2003 à réinstaller encore et encore un vieux correctif du framework .Net. Evidemment les administrateurs sont excédés. Car les mises à jour boguées se multiplient. Quatre en juillet (KB 2840628, KB 2803821, KB 2821895, KB 2844286). Six en aout (KB 2876063, KB 2859537, KB 2873872, KB 2843638, KB 2843639, KB 2868846). Et jusqu'à douze en septembre (KB 2871630, KB 2589275, KB 2760589, KB 2760411, KB 2767913, KB 2810048, KB 2760583, KB 2760590, KB 2760588, KB 2810009, KB 2553145, and KB 2553351). Trop, c'est trop.
Plus on attend, plus on s'expose à une attaque
Microsoft avait plutôt une bonne réputation sur la qualité de ses correctifs. Il a tout ruiné en quatre mois. Avant, beaucoup lui faisaient une confiance aveugle et appliquaient immédiatement les correctifs. Aujourd'hui, toute installation de patch est un stress. On se demande ce qui va bien pouvoir planter. C'est pourquoi les tests de régression reviennent au goût du jour, chez ceux qui ont les moyens. Les autres, eux, se contentent de désactiver les mises à jour automatiques, d'attendre un mois que la poussière retombe, avant d'installer les patchs manuellement. Savoir exactement quand le correctif arrive n'est donc plus vraiment un avantage. Car une fois la faille rendue publique, plus on attend avant de déployer le correctif, plus on s'expose à une attaque.Le cycle mensuel du Patch Tuesday n'est d'ailleurs pas toujours adapté à cette réalité. Exemple avec la récente faille « zéro day » d'Internet Explorer. Elle a été découverte en aout et rendue publique en septembre, juste après le Patch Tuesday. Et malgré plusieurs rapports d'attaques de machines en Asie, Microsoft est resté calé sur son cycle mensuel. Ce n'est que cette semaine que le correctif a enfin été rendu disponible.
Au final, entre les correctifs bogués ou pas assez testés, les administrateurs qui prennent leur temps à les appliquer et les failles béantes non corrigées, il est grandement temps de revoir le Patch Tuesday. Pourquoi ne pas sortir plus souvent du cycle mensuel quand une faille majeure est détectée ? Pourquoi ne pas « beta tester » publiquement les patchs les moins critiques (aucun des récents correctifs bogués n'était estampillé critique) ?
Encore une fois, le Patch Tuesday a été une grande idée qui a fait avancer la gestion des correctifs et la sécurité informatique. Ce serait dommage, pour ses dix ans, qu'il devienne un cauchemar informatique.
On me présente souvent comme le vétéran de l'informatique et des nouvelles technologies. Ma plus grande fierté ? Avoir gagné le concours des "Deux Lignes" d'Hebdogiciel dans les années 1980 et d’avoir développé des jeux pour UbiSoft quand ils étaient encore installés à Créteil dans le Val de Marne. C’est totalement par hasard que j’ai bifurqué journaliste informatique en 1994, dans un titre de presse professionnelle qui plus est (01 Informatique). Une formidable expérience qui m’a permis de commenter toutes les transformations de ces vingt dernières années et d’interviewer les plus grands : Steve Jobs, Bill Gates, Andy Grove, John Chambers, Larry Ellisson, etc. Ce qui me passionne ? L’impact social des technologies : la façon dont Internet a changé notre façon de draguer, d’acheter, de s’informer ou de se distraire. Ce portable, dernier objet que l'on regarde avant de se coucher, le premier au réveil. C’est probablement pourquoi j’ai créé la chronique Culture Geek sur BFM TV en 2009. Et même si certains ne me connaissent aujourd'hui qu'à travers ce miroir grossissant de la télévision, l’essentiel de mon métier, de mon ADN, a toujours été lié à la presse écrite. Hier comme rédacteur en chef adjoint de 01Net et de 01 Business et Technologies, aujourd'hui comme Rédacteur en Chef de Clubic Pro. N’hésitez pas à me contacter. J’essaie, dans la mesure du possible, de répondre à tout le monde.
Lire d'autres articles
