Aucun des grands systèmes d’exploitation du marché ne peut prétendre être réellement sécurisé. Un constat qui doit pousser les utilisateurs à suivre l’apparition de mises à jour capables de les protéger contre les dernières menaces. Ou plutôt “devrait “. Parce que nombre d’administrateurs ne se soucient pas assez de sécurité, les éditeurs de systèmes d’exploitation fournissent des utilitaires capables de vérifier le degré de protection de leur machine, à l’instar de Microsoft en août dernier. Son premier outil a pour nom Microsoft Personal Security Advisor (MPSA). Après avoir déterminé les versions des logiciels installés, il vérifie quels niveaux de sécurité leur ont été attribués et si les accès à distance sont autorisés. Puis il propose, via internet, une succession de mesures et de téléchargements. Un utilitaire plus destiné au particulier, a contrario du Hot Fix Network Check (HFNetChk). Installé sur un PC, ce dernier télécharge un fichier XML rassemblant les signatures des derniers correctifs (patchs) publiés. Il passe alors en revue les machines désignées dans le réseau par l’administrateur, signalant les mises à jour pour Windows, SQL Server, IIS et Internet Explorer. Sans connexion au web : c’est ensuite à l’administrateur de décider s’il veut télécharger les patchs manquants. Pas de prouesse technologique, mais une aide réelle à des services informatiques pas toujours bien informés.
Microsoft n’est pas le seul éditeur concerné
Un tel dispositif existait déjà chez nombre de fournisseurs de systèmes d’exploitation. Sun dispose ainsi de deux outils équivalents à HFNetChk, du nom de PatchCheck et PatchDiag, disponibles au prix de manipulations un peu plus compliquées que l’installation du vérificateur Microsoft. Le tout dans le cadre d’un programme plus classique d’alertes de sécurité, du nom de SunSolve. Du côté du logiciel à code source libre, les initiatives se ressemblent, mais pas les modèles économiques. Red Hat propose bien son propre service, du nom de Red Hat Network (RHN). “Avec RHN, vous créez un profil de chaque machine, définissant les logiciels utilisés et leurs versions, explique Marty Wesley, responsable produit de l’éditeur. Ce profil est ensuite envoyé à Red Hat, chaque patch sera alors signalé, téléchargé, voire installé sur les machines dépendant de ce service, en fonction de la politique adoptée par l’administrateur.” Ces patchs sont fabriqués soit par Red Hat, soit par la communauté Linux, l’éditeur se chargeant alors de les tester et de les valider. Contrepartie du système d’exploitation gratuit, RHN est payant. Il faut en effet débourser environ vingt dollars par mois et par machine pour en bénéficier.
Certains patchs ont des conséquences imprévues
L’initiative de Microsoft ne tient donc pas de la révolution. Mais elle pourrait aiguiller les directions informatiques dans la bonne direction. “C’est un pas très important, juge David Black, responsable services sécurité chez Accenture. Parce qu’un Windows est plus simple à mettre en place et à gérer qu’un Solaris, il y a plus de chance qu’il soit utilisé par un administrateur débutant. Un outil tel que HFNetChk ne peut que lui rendre service.” Ou le desservir. Certains patchs sont en effet développés à la va-vite, pour répondre à un problème de sécurité aussi grave qu’urgent. Ils peuvent donc avoir des conséquences imprévues. Accenture recommande donc de toujours les installer une première fois sur une machine de tests. Le patch reste toutefois un élément essentiel d’une politique de sécurité, à l’intérieur comme à l’extérieur des murs d’une entreprise. Maintenant que de plus en plus de particuliers disposent de connexions haut débit, leurs PC se transforment en effet en porte d’entrée vers le réseau de leur employeur.* à New York
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
