Canonical Livepatch Service : des corrections dans le kernel Linux sans redémarrage

Canonical Livepatch Service : des corrections dans le kernel Linux sans redémarrage

Gestion de l'urgence

Avatar de l'auteur

Vincent Hermann

Publié dansLogiciel

19/10/2016
33
Canonical Livepatch Service : des corrections dans le kernel Linux sans redémarrage

Ubuntu se dote d’une nouvelle capacité destinée aux entreprises, le Canonical Livepatch Service. Il permet l’intervention « live » dans le noyau, sans redémarrage. L’éditeur en autorise l’installation sur des machines grand public, à condition de ne pas dépasser trois ordinateurs.

Le « Kernel live patching » est, comme son nom l’indique, la possibilité d’installer un patch dans le noyau Linux. Lorsqu’il est possible, ce processus offre un avantage conséquent : celui de pouvoir appliquer des modifications sans nécessité de redémarrage de la machine. Idéal donc pour installer des correctifs de sécurité sans nuire à la productivité d’un serveur.

Un service complémentaire pour les versions LTS

Dans une annonce publiée hier soir, Canonical indique désormais disposer d’un tel service. Baptisé CLS, il se veut le complément idéal des serveurs, particulièrement quand ils ont à charge des environnements virtualisés, une seule machine pouvant travailler sur des milliers de charges simultanément. Les entreprises qui souhaitent en profiter doivent par contre bénéficier d’un forfait Advantage, les formules débutant à 12 dollars par mois. Ubuntu 16.04 LTS est obligatoire, en édition 64 bits uniquement.

Obtention du jeton et installation

Canonical laisse également son service être utilisé par le grand public, à condition qu’il ne dépasse pas les trois ordinateurs. Là encore, Ubuntu 16.04 LTS est nécessaire. Les utilisateurs intéressés peuvent alors se rendre sur le site réservé au CLS et obtenir un jeton. Une fois cette étape accomplie, il faudra ouvrir un terminal et coller la commande « sudo snap install canonical-livepatch » pour installer le paquet snap correspondant. On active ensuite le service avec la commance « sudo canonical-livepatch enable XXX », où XXX est le jeton (de taille beaucoup plus longue).

À n’importe quel moment, l’utilisateur ou l’administrateur peut entrer la commande « canonical-livepatch status » pour connaître l’état de son système. Il obtiendra des informations de type « kernel: 4.4.0-38.57-generic fully-patched: true », lui indiquant que tout va bien.

Un type de service qui se généralise doucement

Notez que ce service n’est utilisé que pour corriger les failles de sécurité critiques, celles pour lesquelles il est toujours conseillé d’appliquer les correctifs sans attendre. Par ailleurs, et comme le note Phoronix, Canonical n’est pas le seul éditeur à proposer un tel service. Red Hat dispose ainsi de Kpatch, tandis que SUSE propose kGraft.

33
Avatar de l'auteur

Écrit par Vincent Hermann

Tiens, en parlant de ça :

Carte graphique AMD GeForce

Cartes graphiques : 30 ans d’évolution des GPU

Ha… la bonne époque d’un CF de 4870 X2 !

18:10 Hard 12

Google lance son opération de communications Gemini pour rivaliser avec OpenAI

Preprint not PR-print

17:31 IA 5
Ecran bleu de Windows

Linux : le composant systemd se dote d’un écran bleu de la mort

LoL Micro$oft

16:33 Soft 25

Sommaire de l'article

Introduction

Un service complémentaire pour les versions LTS

Obtention du jeton et installation

Un type de service qui se généralise doucement

Carte graphique AMD GeForce

Cartes graphiques : 30 ans d’évolution des GPU

Hard 12

Google lance son opération de communications Gemini pour rivaliser avec OpenAI

IA 5
Ecran bleu de Windows

Linux : le composant systemd se dote d’un écran bleu de la mort

Soft 25
Une petite fille en train d'apprendre à programmer et hacker logiciels et appareils électroniques

Un roman graphique explique les logiciels libres aux enfants

SoftSociété 17
Nouveautés pour Messenger

Meta lance (enfin) le chiffrement de bout en bout de Messenger, entre autres

Socials 5

#LeBrief : cloud européen, OSIRIS-REx a frôlée la catastrophe, CPU AMD Ryzen 8040

Windows en 2024 : beaucoup d’IA, mais pas forcément un « 12 »

Soft 18
Einstein avec des qubits en arrière plan

Informatique quantique, qubits : avez-vous les bases ?

HardScience 9
Notifications iPhone

Surveillance des notifications : un sénateur américain demande la fin du secret

DroitSécu 15

En ligne, les promos foireuses restent d’actualité

DroitWeb 19

#LeBrief : modalité des amendes RGPD, cyberattaque agricole, hallucinations d’Amazon Q, 25 ans d’ISS
Logo Twitch

Citant des « coûts prohibitifs », Twitch quitte la Corée du Sud

ÉcoWeb 29
Formation aux cryptomonnaies par Binance à Pôle Emploi

Binance fait son marketing pendant des formations sur la blockchain destinées aux chômeurs

Éco 10
Consommation électrique du CERN

L’empreinte écologique CERN en 2022 : 1 215 GWh, 184 173 teqCO₂, 3 234 Ml…

Science 6
station électrique pour voitures

Voitures électriques : dans la jungle, terrible jungle, des bornes de recharge publiques

Société 75

#LeBrief : intelligence artificielle à tous les étages, fichier biométrique EURODAC
KDE Plasma 6

KDE Plasma 6 a sa première bêta, le tour des nouveautés

Soft 13
Un homme noir regarde la caméra. Sur son visage, des traits blancs suggèrent un traitement algorithmique.

AI Act et reconnaissance faciale : la France interpelée par 45 eurodéputés

DroitSociété 4
Api

La CNIL préconise l’utilisation des API pour le partage de données personnelles entre organismes

SécuSociété 3
Fouet de l’Arcep avec de la fibre

Orange sanctionnée sur la fibre : l’argumentaire de l’opérateur démonté par l’Arcep

DroitWeb 23
Bombes

Israël – Hamas : comment l’IA intensifie les attaques contre Gaza

IA 22

#LeBrief : bande-annonce GTA VI, guerre électronique, Spotify licencie massivement
Poing Dev

Le poing Dev – Round 7

Next 102
Logo de Gaia-X sour la forme d’un arbre, avec la légende : infrastructure de données en forme de réseau

Gaia-X « vit toujours » et « arrive à des étapes très concrètes »

WebSécu 6

Trois consoles portables en quelques semaines

Hard 37
Une tasse estampillée "Keep calm and carry on teaching"

Cyberrésilience : les compromis (provisoires) du trilogue européen

DroitSécu 3

#LeBrief : fuite de tests ADN 23andMe, le milliard pour Android Messages, il y a 30 ans Hubble voyait clair
next n'a pas de brief le week-end

Le Brief ne travaille pas le week-end.
C'est dur, mais c'est comme ça.
Allez donc dans une forêt lointaine,
Éloignez-vous de ce clavier pour une fois !

Commentaires (33)


ErGo_404
Le 19/10/2016 à 07h23

Je n’imagine même pas la complexité du code pour faire fonctionner un système pareil.
Ou alors ils sont vraiment ingénieux et ont trouvé une solution élégante pour le faire.


En tous cas c’est une très bonne nouvelle pour les serveurs. Pour les particuliers un peu moins.


Fabz31
Le 19/10/2016 à 07h30
dylem29 Abonné
Le 19/10/2016 à 07h36

Comment ça fonctionne au niveau de la licence ça? D’interdire l’utilisation à 3 postes par exemple. 


seb2411
Le 19/10/2016 à 07h38






dylem29 a écrit :

Comment ça fonctionne au niveau de la licence ça? D’interdire l’utilisation à 3 postes par exemple.


C’est un service en ligne donc tu as une licence d’utilisation.



v6relou
Le 19/10/2016 à 07h38

Hop les backdoors du gouvernement US directement et automatique installées et retirée. La RSA en a rêvé, Canonical l’a fait.


dylem29 Abonné
Le 19/10/2016 à 07h44

Ah, c’est pas directement dans l’OS…


tifounon
Le 19/10/2016 à 07h44






Fabz31 a écrit :

https://www.youtube.com/watch?v=SYRlTISvjww
<img data-src=" />




<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />

et ils en ont fait pleins d’autres <img data-src=" />



kuzko
Le 19/10/2016 à 07h47

Alors la je comprends pas :
kpatch marche sur a peu près toutes les distros avec kernel &gt;=3.9 et GCC &gt;=4.8 selon le github sur lequel il est hébergé, mais pourquoi ces options sont toutes des services commerciaux distro dependenants si c’est une fonctionnalité intégrée au kernel linux???!
&nbsp;
L’élaboration des patch diffère des maj de packets kernel via apt-get ou dnf?

késakokecetruc?


Jarodd Abonné
Le 19/10/2016 à 07h47

Ca arrivera plus tard pour les particuliers ou pas ?


jackjack2
Le 19/10/2016 à 07h49






v6relou a écrit :

Hop les backdoors du gouvernement US directement et automatique installées et retirée. La RSA en a rêvé, Canonical l’a fait.


Non le RSA c’est le truc super populaire en France
Tu veux dire NSA <img data-src=" />



tpeg5stan Abonné
Le 19/10/2016 à 07h51






v6relou a écrit :

Hop les backdoors du gouvernement US directement et automatique installées et retirée. La RSA en a rêvé, Canonical l’a fait.


Laisse la république sud-africaine tranquille, pour une fois ce n’est pas la faute de Jacob Zuma <img data-src=" />

EDIT:grilled à deux minutes, râââh



zefling Abonné
Le 19/10/2016 à 07h52

Je comprends pas, en mode serveur, j’ai jamais a redémarrer ma machine quand je mets à jour le noyaux, et quand je lui demande après une mise à jour, j’ai bien la dernière version.


neointhematrix
Le 19/10/2016 à 07h52






Fabz31 a écrit :

https://www.youtube.com/watch?v=SYRlTISvjww
<img data-src=" />



Je ne connaissais pas mais ça m’a mis de bonne humeur. <img data-src=" />



v1nce
Le 19/10/2016 à 07h52

sur le principe c’est pas compliqué : tu as une table des appels système il suffit de remplacer l’adresse de la fonction de base par l’adresse de la fonction de remplacement. Comme la signature des méthodes (leurs arguments en entrée et leur sortie) est identique c’est transparent.


seb2411
Le 19/10/2016 à 07h53






kuzko a écrit :

Alors la je comprends pas :
kpatch marche sur a peu près toutes les distros avec kernel &gt;=3.9 et GCC &gt;=4.8 selon le github sur lequel il est hébergé, mais pourquoi ces options sont toutes des services commerciaux distro dependenants si c’est une fonctionnalité intégrée au kernel linux???!
 
L’élaboration des patch diffère des maj de packets kernel via apt-get ou dnf?

késakokecetruc?


De ce que je comprend le truc ce n’est pas de faire des patchs sans redémarrer. Ça c’est en effet possible nativement dans le kernel.

L’intérêt du service, qui tire partie de cette fonctionnalité, c’est qu’il diffuse en temps réel les mises a jours de sécurité vers ton kernel des qu’elles sont disponibles.



seb2411
Le 19/10/2016 à 07h54






zefling a écrit :

Je comprends pas, en mode serveur, j’ai jamais a redémarrer ma machine quand je mets à jour le noyaux, et quand je lui demande après une mise à jour, j’ai bien la dernière version.


En général tu dois redémarrer pour appliquer les mises a jours du noyau. L’intérêt ici c’est qu’il n’y a plus besoin d’une action de l’utilisateur. Je pense que c’est notamment oriente vers le monde l’IoT.



Obidoub
Le 19/10/2016 à 07h58






tpeg5stan a écrit :

Laisse la république sud-africaine tranquille


J’ai failli faire la remarque aussi mais d’après Wikipedia le siège de Canonical est à Londres.



Torre Torinese
Le 19/10/2016 à 08h00






kuzko a écrit :

Alors la je comprends pas :
kpatch marche sur a peu près toutes les distros avec kernel &gt;=3.9 et GCC &gt;=4.8 selon le github sur lequel il est hébergé, mais pourquoi ces options sont toutes des services commerciaux distro dependenants si c’est une fonctionnalité intégrée au kernel linux???!
&nbsp;
L’élaboration des patch diffère des maj de packets kernel via apt-get ou dnf?

késakokecetruc?


Exact, j’ai Kpatch sur les CentOS que je gère au travail, et ça remplit déjà cette fonctionnalité.



seb2411 a écrit :

De ce que je comprend le truc ce n’est pas de faire des patchs sans
redémarrer. Ça c’est en effet possible nativement dans le kernel.


L’intérêt du service, qui tire partie de cette fonctionnalité, c’est
qu’il diffuse en temps réel les mises a jours de sécurité vers ton
kernel des qu’elles sont disponibles.


Je vois. Je préfère traiter ça en manuel. J’ai déjà eu des surprises de ce côté-là.



uzak
Le 19/10/2016 à 08h02

C’est là qu’on voit que Windows a un retard monstrueux…


Commentaire_supprime
Le 19/10/2016 à 08h06






jackjack2 a écrit :

Non le RSA c’est le truc super populaire en France
Tu veux dire NSA <img data-src=" />



Surtout que ça va pas pisser loin le RSA : 535,17 € pour une personne seule, moins les APL, pour le RSA socle.

<img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" /><img data-src=" />



Winderly Abonné
Le 19/10/2016 à 08h19

Je voudrais pouvoir mettre à jour en live le kernel de mon opensuse (c’est à dire sans devoir recompiler ledit kernel pour que le pilote proprio de nvidia continue de fonctionner).
La vie est plus belle en rêve. <img data-src=" /> <img data-src=" />


KP2
Le 19/10/2016 à 08h27






kuzko a écrit :

Alors la je comprends pas :
kpatch marche sur a peu près toutes les distros avec kernel &gt;=3.9 et GCC &gt;=4.8 selon le github sur lequel il est hébergé, mais pourquoi ces options sont toutes des services commerciaux distro dependenants si c’est une fonctionnalité intégrée au kernel linux???!



kpatch est pas le truc le plus user-friendly qu’on connaisse… Là, ils proposent une infra hébergée automatisée pour rendre le bazar transparent et ils le font payer. C’est tout.
Ils font du commerce avec du Libre, rien de nouveau.



xonlly
Le 19/10/2016 à 08h45

Merci tu m’as trop fait rire <img data-src=" />


Edzilla
Le 19/10/2016 à 08h51






zefling a écrit :

Je comprends pas, en mode serveur, j’ai jamais a redémarrer ma machine quand je mets à jour le noyaux, et quand je lui demande après une mise à jour, j’ai bien la dernière version.


Oui, mais non. Il est installé, pas actif tant que tu n’as pas redémarré.
Tu peux installer “needrestart” sur ton serveur, à chaque mise à jour de paquet il t’indiquera:&nbsp;




  • Si tu dois redémarrer un service suite à une mise à jour (exemple: redémarrage de apache suite à mise à jour openssl)

  • Si tu dois redémarrer ton serveur suite à mise à jour de kernel.



VoucyusDo
Le 19/10/2016 à 09h52






KP2 a écrit :

Ils font du commerce avec du Libre, rien de nouveau.


Oui et non. Il me semble que ce service s’appuie sur des mécanismes inclus dans le kernel mais le code source des applicatifs serveur qui font tourner le truc ne sont pas libres. Sinon on pourrait l’installer nous-mêmes sur notre propre serveur, ce qui n’a pas l’air d’être le cas ici. Bref du bon logiciel proprio “in the cloud” !&nbsp;<img data-src=" />



KP2
Le 19/10/2016 à 10h10






VoucyusDo a écrit :

Oui et non. Il me semble que ce service s’appuie sur des mécanismes inclus dans le kernel mais le code source des applicatifs serveur qui font tourner le truc ne sont pas libres. Sinon on pourrait l’installer nous-mêmes sur notre propre serveur, ce qui n’a pas l’air d’être le cas ici. Bref du bon logiciel proprio “in the cloud” ! <img data-src=" />



Oui mais c’était surtout pour dire qu’ils ajoutent un peu de cosmétique et d’huile à une fonctionnalité fondamentale Libre et ils vendent ça sous forme de service.
Après le code qui tourne sur leur plateforme n’aurait pas une grande valeur à être libéré je pense. Il est même probable qu’ils s’appuient aussi sur des softs Libres derrière (jenkins ou un équivalent entre autre)



Kim Jong-Un
Le 19/10/2016 à 11h26

Linux <img data-src=" />

Windaube <img data-src=" />

<img data-src=" />


pyro-700
Le 19/10/2016 à 11h50

pour quand avec windows 10 les&nbsp;corrections dans le kernel sans redémarrage?


zefling Abonné
Le 19/10/2016 à 14h17

Je comprends pas, en mode serveur, j’ai jamais a redémarrer ma machine quand je mets à jour le noyaux, et quand je lui demande après une mise à jour, j’ai bien la dernière version.




Edzilla a écrit :

Oui, mais non. Il est installé, pas actif tant que tu n’as pas redémarré.
Tu peux installer “needrestart” sur ton serveur, à chaque mise à jour de paquet il t’indiquera: 




  • Si tu dois redémarrer un service suite à une mise à jour (exemple: redémarrage de apache suite à mise à jour openssl)

  • Si tu dois redémarrer ton serveur suite à mise à jour de kernel.



    Normalement quand j’ai besoin d’un redémarrage il me dit qu’il faut rebooter, je l’ai assez régulièrement en desktop, jamais en serveur et quand je demande la version du noyaux, après quelques minutes j’ai bien la dernière sans rebooter.



v6relou
Le 19/10/2016 à 20h56

Haha le lapsus, merci de l’avoir relevé.


SebGF Abonné
Le 20/10/2016 à 04h54

Sur du serveur je l’avais déjà vu avec la bannière SSH qui dit “le système doit être redémarré”, au même titre que le “xx paquets peuvent être mis à jour”.
Après ça fait longtemps que j’ai pas joué avec une Ubuntu Server, je me suis installé une 16.04 dernièrement.


zefling Abonné
Le 20/10/2016 à 07h23






SebGF a écrit :

Sur du serveur je l’avais déjà vu avec la bannière SSH qui dit “le système doit être redémarré”, au même titre que le “xx paquets peuvent être mis à jour”.
Après ça fait longtemps que j’ai pas joué avec une Ubuntu Server, je me suis installé une 16.04 dernièrement.


Je n’ai jamais ce message… Étrange. Le seule fois où j’ai eu a redémarrer (donc ce message), c’est quand je suis passé de la 12.04 à la 14.04.



Edzilla
Le 20/10/2016 à 09h45






zefling a écrit :

Je comprends pas, en mode serveur, j’ai jamais a redémarrer ma machine quand je mets à jour le noyaux, et quand je lui demande après une mise à jour, j’ai bien la dernière version.

Normalement quand j’ai besoin d’un redémarrage il me dit qu’il faut rebooter, je l’ai assez régulièrement en desktop, jamais en serveur et quand je demande la version du noyaux, après quelques minutes j’ai bien la dernière sans rebooter.


Y’a aucun doute à ça, si tu installes un nouveau noyau mais que tu ne redémarre pas, il ne sera pas actif. C’est justement tout l’interêt d’un service comme celui annoncé dans cet article d’avoir les patchs appliqués à ton noyau live sans redémarrer.
Après qu’il y ait un soucis sur ton ubuntu server qui aboutisse au fait que tu n’est pas averti, c’est possible, mais ça ne veut pas dire que tu as réellement le nouveau kernel actif.

Accessoirement, needrestart t’indique aussi si tu dois redémarrer un simple service, ce qui de toute façon ne t’es pas indiqué dans l’installation d’un paquet “normal”.