Il est temps de revoir le Patch Tuesday

11 octobre 2013 à 18h20
0
0064000005682052-photo-anicet-mbida.jpg
Chaque semaine, Anicet Mbida nous livre son avis sur l'actualité numérique.
Oh non ! Pas encore. Pour la troisième fois consécutive, Microsoft nous livre une série de correctifs bogués, pas assez testés et qui posent plus de problèmes qu'ils n'en résolvent. Cela fait exactement dix ans ce mois-ci qu'a débuté la salve mensuelle de correctifs du « Patch Tuesday ». Mais la qualité des mises à jour ne cesse de baisser. Microsoft serait-il distrait ? Tellement occupé par les téléphones, les tablettes et les consoles de jeux qu'il en oublie ses millions de clients Windows ?

Il était une fois une belle idée de la sécurité informatique. Proposer tous les deuxièmes mardi du mois, une compilation de correctifs poussés automatiquement dans Windows Update. C'était en octobre 2003 : le patch Tuesday était né et tout le monde semblait ravi. Les administrateurs tout d'abord. Ils n'ont plus à batailler avec un flux imprévisible de mises à jour. Et comme ils savent exactement ce qui va arriver et quand, ils peuvent tranquillement planifier l'installation des correctifs. Mieux : ce rythme mensuel a permis une prise de conscience de l'importance des mises à jour de sécurité, dans les entreprises comme pour le grand public.

Mais depuis quelques mois, le Patch Tuesday est plus redouté qu'attendu. Celui de cette semaine, par exemple, le KB 2878890, oblige les machines XP et Windows Server 2003 à réinstaller encore et encore un vieux correctif du framework .Net. Evidemment les administrateurs sont excédés. Car les mises à jour boguées se multiplient. Quatre en juillet (KB 2840628, KB 2803821, KB 2821895, KB 2844286). Six en aout (KB 2876063, KB 2859537, KB 2873872, KB 2843638, KB 2843639, KB 2868846). Et jusqu'à douze en septembre (KB 2871630, KB 2589275, KB 2760589, KB 2760411, KB 2767913, KB 2810048, KB 2760583, KB 2760590, KB 2760588, KB 2810009, KB 2553145, and KB 2553351). Trop, c'est trop.

Plus on attend, plus on s'expose à une attaque



Microsoft avait plutôt une bonne réputation sur la qualité de ses correctifs. Il a tout ruiné en quatre mois. Avant, beaucoup lui faisaient une confiance aveugle et appliquaient immédiatement les correctifs. Aujourd'hui, toute installation de patch est un stress. On se demande ce qui va bien pouvoir planter. C'est pourquoi les tests de régression reviennent au goût du jour, chez ceux qui ont les moyens. Les autres, eux, se contentent de désactiver les mises à jour automatiques, d'attendre un mois que la poussière retombe, avant d'installer les patchs manuellement. Savoir exactement quand le correctif arrive n'est donc plus vraiment un avantage. Car une fois la faille rendue publique, plus on attend avant de déployer le correctif, plus on s'expose à une attaque.

Le cycle mensuel du Patch Tuesday n'est d'ailleurs pas toujours adapté à cette réalité. Exemple avec la récente faille « zéro day » d'Internet Explorer. Elle a été découverte en aout et rendue publique en septembre, juste après le Patch Tuesday. Et malgré plusieurs rapports d'attaques de machines en Asie, Microsoft est resté calé sur son cycle mensuel. Ce n'est que cette semaine que le correctif a enfin été rendu disponible.

Au final, entre les correctifs bogués ou pas assez testés, les administrateurs qui prennent leur temps à les appliquer et les failles béantes non corrigées, il est grandement temps de revoir le Patch Tuesday. Pourquoi ne pas sortir plus souvent du cycle mensuel quand une faille majeure est détectée ? Pourquoi ne pas « beta tester » publiquement les patchs les moins critiques (aucun des récents correctifs bogués n'était estampillé critique) ?

Encore une fois, le Patch Tuesday a été une grande idée qui a fait avancer la gestion des correctifs et la sécurité informatique. Ce serait dommage, pour ses dix ans, qu'il devienne un cauchemar informatique.
Modifié le 01/06/2018 à 15h36
0 réponses
0 utilisateurs
Suivre la discussion

Les actualités récentes les plus commentées

L'Angleterre envisage l'interdiction du smartphone en conduisant, même en main libre
Déjà plus de 45 000 précommandes pour la Mini Cooper SE électrique
L'Audi e-tron devient la voiture électrique la plus sûre du monde
Piratées, les enceintes connectées pourraient être une menace pour leurs utilisateurs
Une étude montre que les cyclistes
Selon Google, 1,5% des mots de passe seraient compromis
Des scientifiques réinventent l'air conditionné grâce au froid de l'espace
Suite à un accident mortel, la marine américaine ne veut plus d'écrans tactiles
Un restaurant de burgers cuisinés par des robots ? Une start-up l’a fait
Nos théories sur l'évolution de l'Univers remises en question par 39 galaxies

Notre charte communautaire

1. Participez aux discussions

Nous encourageons chacun à exprimer ses idées sur les sujets qui l'intéressent, et à faire profiter l'ensemble de la communauté de son expertise sur un sujet particulier.

2. Partagez vos connaissances

Que vous soyez expert ou amateur passionné, partagez vos connaissances aux autres membres de la communauté pour enrichir le niveau d'expertise des articles.

3. Échangez vos idées

Donnez votre opinion en étayant votre propos et soyez ouverts aux idées des autres membres de la communauté, même si elles sont radicalement différentes des vôtres.

4. Faites preuve de tolérance

Qu'il s'agisse de rédacteurs professionnels ou amateurs, de lecteurs experts ou passionnés, vous devez faire preuve de tolérance et vous placer dans une démarche d'entraide.

5. Restez courtois

Particulièrement lorsque vous exprimez votre désaccord, critiquez les idées, pas les personnes. Évitez à tout prix les insultes, les attaques et autres jugements sur la forme des messages.

6. Publiez des messages utiles

Chaque participation a vocation à enrichir la discussion, aussi les partages d'humeurs personnelles ne doivent pas venir gêner le fil des échanges.

7. Soignez votre écriture

Utilisez la ponctuation, prohibez le langage SMS et les majuscules, relisez-vous afin de corriger un peu les fautes de frappe et de français : trop de fautes n’engagent ni à lire le message, ni à répondre à une question.

8. Respectez le cadre légal

Ne publiez pas de contenus irrespectueux, racistes, homophobes, obscènes ou faisant l'apologie de courants radicaux, qu'ils soient politiques ou religieux. N'utilisez pas plusieurs comptes utilisateurs.

9. Ne faites pas de promotion

Ne profitez pas d'une discussion pour faire la publicité d'un produit, d'un service ou même de votre site web personnel.

10. Ne plagiez pas

Exprimez uniquement vos opinions ou partagez des idées en citant vos sources.

scroll top