Il était une fois une belle idée de la sécurité informatique. Proposer tous les deuxièmes mardi du mois, une compilation de correctifs poussés automatiquement dans Windows Update. C'était en octobre 2003 : le patch Tuesday était né et tout le monde semblait ravi. Les administrateurs tout d'abord. Ils n'ont plus à batailler avec un flux imprévisible de mises à jour. Et comme ils savent exactement ce qui va arriver et quand, ils peuvent tranquillement planifier l'installation des correctifs. Mieux : ce rythme mensuel a permis une prise de conscience de l'importance des mises à jour de sécurité, dans les entreprises comme pour le grand public.
Mais depuis quelques mois, le Patch Tuesday est plus redouté qu'attendu. Celui de cette semaine, par exemple, le KB 2878890, oblige les machines XP et Windows Server 2003 à réinstaller encore et encore un vieux correctif du framework .Net. Evidemment les administrateurs sont excédés. Car les mises à jour boguées se multiplient. Quatre en juillet (KB 2840628, KB 2803821, KB 2821895, KB 2844286). Six en aout (KB 2876063, KB 2859537, KB 2873872, KB 2843638, KB 2843639, KB 2868846). Et jusqu'à douze en septembre (KB 2871630, KB 2589275, KB 2760589, KB 2760411, KB 2767913, KB 2810048, KB 2760583, KB 2760590, KB 2760588, KB 2810009, KB 2553145, and KB 2553351). Trop, c'est trop.
Plus on attend, plus on s'expose à une attaque
Microsoft avait plutôt une bonne réputation sur la qualité de ses correctifs. Il a tout ruiné en quatre mois. Avant, beaucoup lui faisaient une confiance aveugle et appliquaient immédiatement les correctifs. Aujourd'hui, toute installation de patch est un stress. On se demande ce qui va bien pouvoir planter. C'est pourquoi les tests de régression reviennent au goût du jour, chez ceux qui ont les moyens. Les autres, eux, se contentent de désactiver les mises à jour automatiques, d'attendre un mois que la poussière retombe, avant d'installer les patchs manuellement. Savoir exactement quand le correctif arrive n'est donc plus vraiment un avantage. Car une fois la faille rendue publique, plus on attend avant de déployer le correctif, plus on s'expose à une attaque.Le cycle mensuel du Patch Tuesday n'est d'ailleurs pas toujours adapté à cette réalité. Exemple avec la récente faille « zéro day » d'Internet Explorer. Elle a été découverte en aout et rendue publique en septembre, juste après le Patch Tuesday. Et malgré plusieurs rapports d'attaques de machines en Asie, Microsoft est resté calé sur son cycle mensuel. Ce n'est que cette semaine que le correctif a enfin été rendu disponible.
Au final, entre les correctifs bogués ou pas assez testés, les administrateurs qui prennent leur temps à les appliquer et les failles béantes non corrigées, il est grandement temps de revoir le Patch Tuesday. Pourquoi ne pas sortir plus souvent du cycle mensuel quand une faille majeure est détectée ? Pourquoi ne pas « beta tester » publiquement les patchs les moins critiques (aucun des récents correctifs bogués n'était estampillé critique) ?
Encore une fois, le Patch Tuesday a été une grande idée qui a fait avancer la gestion des correctifs et la sécurité informatique. Ce serait dommage, pour ses dix ans, qu'il devienne un cauchemar informatique.
