Un logiciel, ça vieillit mal
Il y a deux ingrédients dans n’importe quel appareil numérique : le matériel et le logiciel. Le premier tient plusieurs années, parfois une décennie, et on le remplace quand il tombe en panne ou qu’il devient trop lent. Le second, lui, est beaucoup plus vivant : on peut le corriger, le modifier, lui ajouter des fonctions… et surtout boucher ses trous.
Et des trous, il y en a. La résistance d’un logiciel aux attaques diminue mécaniquement avec le temps, parce que de nouvelles vulnérabilités sont identifiées en permanence, puis exploitées par des cybercriminels. Un programme parfaitement sûr le jour de sa sortie ne l’est plus deux ans plus tard, même si vous n’y avez pas touché.
C’est exactement à ça que servent les mises à jour : elles apportent parfois des nouveautés (une interface remaniée, une fonction en plus, pas toujours réclamée d’ailleurs), mais leur rôle principal est de corriger des failles de sécurité. Encore faut-il que l’éditeur ait la volonté, et la capacité, d’en publier. Ce qui, on le verra, n’est pas toujours acquis.
Le système d'exploitation, votre premier gardien
Windows, macOS ou Linux sur un ordinateur, Android ou iOS sur un téléphone ou une tablette : le système d’exploitation est le logiciel qui commande tout le reste. C’est lui qui décide quelle application a le droit d’accéder à quoi, lui qui gère la sécurité des données stockées sur l’appareil, lui qui sépare vos photos et vos mots de passe du petit jeu installé la veille.
Autrement dit, si le système d’exploitation est compromis, plus rien n’est protégé au-dessus. Vous pouvez avoir des mots de passe irréprochables et un antivirus payant, ça ne changera pas grand-chose.
Ces systèmes sont aussi d’une complexité vertigineuse, des millions de lignes de code écrites, réécrites et empilées pendant des années. Maintenir à jour le système d’exploitation de ses équipements est donc, sans exagérer, la mesure de sécurité la plus critique de toutes.
Des failles découvertes presque tous les jours
On imagine souvent la faille de sécurité comme un événement rare, spectaculaire, qui fait la une. La réalité est beaucoup plus banale : de nouvelles vulnérabilités sont découvertes dans les systèmes d’exploitation quasiment chaque jour. Certaines sont anecdotiques, d’autres permettent de faire sauter des verrous entiers.
Ces découvertes sont publiées, et elles sont lues par tout le monde : par les équipes de sécurité des éditeurs, qui préparent un correctif, mais aussi par les groupes cybercriminels, qui préparent l’attaque. C’est une course, et la seule chose que vous contrôlez dans cette course, c’est la vitesse à laquelle vous installez le correctif une fois qu’il est disponible.
Nota Bene : une vulnérabilité (ou faille) est une erreur de conception ou de programmation qui permet de faire faire à un logiciel quelque chose qui n’était pas prévu. Un correctif de sécurité (parfois appelé patch) est la rustine publiée par l’éditeur pour refermer cette erreur. Une mise à jour regroupe généralement plusieurs correctifs d’un coup.
Quand un inconnu prend la main sur votre machine
Selon leur nature, ces vulnérabilités permettent à un attaquant de contourner les mécanismes de sécurité en place, voire de prendre le contrôle complet de la machine. Et parfois à distance, sans jamais avoir touché l’appareil ni même s’être trouvé dans le même pays.
Un cas très ordinaire : quelqu’un télécharge un jeu proposé un peu au hasard, l’installe, et constate quelques heures plus tard que son ordinateur rame à un point qu’il en devient inutilisable. Le jeu cachait des fonctions malveillantes qui ont exploité une ancienne faille du système, jamais corrigée parce que les mises à jour étaient systématiquement refusées, pour installer discrètement un mineur de cryptomonnaies qui tourne en tâche de fond et bouffe toute la puissance de la machine.
Retenez ce signal : un appareil qui devient subitement très lent, sans raison, fait partie des indices classiques d’une compromission. Ce n’est pas toujours ça (une batterie fatiguée ou un disque plein donnent le même symptôme), mais ça mérite qu’on regarde.
Une nuance qui compte quand on vit ici : réparer après coup ne se règle pas aussi simplement qu’ailleurs. Entre l’éloignement des SAV constructeurs, les allers-retours vers la métropole et les délais du fret pour la moindre pièce, un incident qui s’arrangerait vite dans l’Hexagone peut immobiliser une machine bien plus longtemps à La Réunion. Sur une île, éviter la panne vaut toujours mieux que savoir la réparer.
Ce que font, ou ne font plus, les éditeurs
Du côté des éditeurs de systèmes d’exploitation, des équipes spécialisées suivent de près la publication des vulnérabilités et produisent en continu des correctifs, qui vous sont ensuite proposés à l’installation. C’est ce flux régulier de petites mises à jour qui maintient un appareil dans un état à peu près sain.
Mais ce robinet n’est pas éternel. Comme il existe une multitude de versions en circulation, les éditeurs limitent le support d’une version donnée à une certaine période, puis cessent purement et simplement de corriger les plus anciennes. Passé cette date, les failles continuent d’être découvertes, sauf que plus personne ne les rebouche chez vous.
Pour les objets connectés, c’est encore plus arbitraire : box, points d’accès wifi, télévisions, enceintes, caméras, jouets, gadgets à petit prix… beaucoup n’ont qu’une période de mise à jour très réduite, parfois inexistante dès l’achat. C’est une catégorie particulièrement exposée, et il faut le savoir avant de multiplier ces appareils à la maison.
Plus on attend, plus la fenêtre s'ouvre
Installer une mise à jour sans tarder n’est pas une question de perfectionnisme, c’est une question d’arithmétique : chaque jour de retard est un jour de plus pendant lequel une faille connue reste ouverte sur votre machine. Réduire ce délai, c’est réduire la surface d’attaque disponible pour un logiciel malveillant.
Le cas devient épineux avec le matériel ancien. Les versions récentes des systèmes refusent souvent de s’installer sur des appareils trop vieux, ce qui place devant un choix inconfortable : garder un matériel qui fonctionne encore très bien mais qui ne reçoit plus aucun correctif, ou le remplacer alors qu’il n’a rien de cassé.
À La Réunion, ce dilemme se pose avec un peu plus d’acuité qu’ailleurs : entre le coût et les délais du fret, l’éloignement des SAV constructeurs et l’humidité qui abrège déjà la vie du matériel, on garde volontiers un ordinateur ou un téléphone le plus longtemps possible. C’est compréhensible, mais il faut le faire en connaissance de cause, et éviter d’y stocker ses données les plus sensibles ou d’y faire ses opérations bancaires.
Navigateurs et bureautique : les cibles préférées
Tous les logiciels ne présentent pas le même risque. Un petit utilitaire diffusé à quelques milliers d’exemplaires n’intéresse personne. Un navigateur web ou une suite bureautique, c’est autre chose : énormément de code (donc énormément de failles potentielles) et des centaines de millions d’utilisateurs. Pour un cybercriminel, le rapport effort/rendement est imbattable.
Le navigateur est en première ligne parce qu’il exécute du code venu de l’extérieur à longueur de journée. Un site web malveillant ou compromis peut contenir du code qui s’exécutera tout seul dans votre navigateur et déclenchera une attaque… si celui-ci n’est pas à jour. S’il l’est, la même page ne fait rien du tout.
N’oubliez surtout pas les extensions (les fameux plugins). Elles font partie du navigateur du point de vue de la sécurité, et elles sont souvent laissées de côté au moment des mises à jour. Côté bureautique, même vigilance : les documents piégés circulent beaucoup, notamment via des macros cachées dans des fichiers d’apparence anodine.
Les briques partagées et le cas de l'antivirus
Certains logiciels forment une base sur laquelle d’autres programmes s’appuient. Java en est l’exemple type : quand vous le mettez à jour, tous les logiciels qui reposent dessus en profitent indirectement. À l’inverse, le laisser vieillir dans son coin, c’est fragiliser d’un coup plusieurs applications sans même vous en rendre compte.
L’antivirus, lui, est un cas à part : il doit évoluer au même rythme que les virus et autres logiciels malveillants, qui apparaissent en permanence. Un antivirus qui n’est pas mis à jour très régulièrement, c’est-à-dire connecté à Internet au minimum une fois par jour, perd très vite l’essentiel de son utilité.
Un mot pour relativiser : aucun antivirus n’offre de garantie à 100 %. Ils reconnaissent bien les menaces connues, beaucoup moins les menaces récentes ou très ciblées. Sur un téléphone en particulier, il est nettement plus important d’installer les mises à jour de sécurité et de n’installer que des applications issues des magasins officiels que de rajouter un antivirus. Et inutile d’en empiler deux : ce n’est ni pertinent, ni généralement possible.
Vous avez un site web ? Il compte aussi
Beaucoup de particuliers, d’associations et de petites entreprises gèrent eux-mêmes un site, souvent construit sur un système de gestion de contenu du type WordPress, Joomla ou Drupal. Ces outils sont des logiciels comme les autres : ils ont des failles. Sauf qu’ils tournent sur des serveurs connectés à Internet en permanence, ce qui en fait une cible de choix, scannée automatiquement par les attaquants.
La règle est donc la même, en plus strict : mettre à jour très régulièrement le moteur du site et tous les modules d’extension installés. Pour le moteur de base, il est souvent possible d’activer l’installation automatique des mises à jour de sécurité, faites-le. Pour les extensions, c’est plus délicat, certaines sont rapidement abandonnées par leurs développeurs.
Une extension qui n’est plus maintenue doit être désactivée, et remplacée si nécessaire par un module équivalent plus moderne et correctement suivi. Et sachez qu’un site compromis est la plupart du temps rapidement mis hors ligne par l’hébergeur : bien souvent, c’est la disparition brutale du site qui alerte son propriétaire. Autant ne pas en arriver là.
Pour une petite structure d’ici, ce point mérite une attention particulière. Pendant une alerte cyclonique, quand les portes restent fermées et que tout le monde est chez soi devant son téléphone, le site devient souvent le seul endroit où vos clients peuvent vérifier si vous ouvrez, comment vous joindre et ce que vous pouvez encore faire pour eux. Une extension abandonnée depuis longtemps, c’est exactement le genre de détail qui choisit ce moment-là pour vous coûter votre vitrine.
L'automatique, parce que l'humain oublie
Soyons honnêtes : personne n’a envie de vérifier chaque semaine si son navigateur, sa suite bureautique et son téléphone ont reçu un correctif. Les demandes répétées finissent par agacer, on clique sur « plus tard », et six mois passent. C’est exactement le scénario qui laisse une vieille faille grande ouverte.
Heureusement, la plupart des logiciels proposent aujourd’hui l’installation automatique des mises à jour. L’option se trouve dans les réglages, dans la rubrique consacrée aux mises à jour, aussi bien sur les systèmes d’exploitation d’ordinateur que sur les téléphones et tablettes. Chaque fois que ce choix existe, il faut le privilégier : la machine s’occupe du correctif toute seule, souvent la nuit, et le délai d’exposition tombe à presque rien.
Deux précautions pratiques : gardez l’appareil branché pendant l’installation, et évitez de lancer une grosse mise à jour au moment où le courant est instable, en pleine alerte cyclonique par exemple. Une mise à jour interrompue par une coupure, ce n’est jamais agréable à rattraper.
Le réflexe à installer une bonne fois pour toutes
Récapitulons ce qu’il y a concrètement à faire, en une petite demi-heure, une fois pour toutes :
- Activez les mises à jour automatiques du système d’exploitation sur chaque appareil : ordinateur, téléphone, tablette.
- Faites de même pour les navigateurs web et vérifiez leurs extensions, en supprimant celles que vous n’utilisez plus.
- Activez l’installation automatique pour la suite bureautique et les logiciels que vous utilisez tous les jours.
- Vérifiez que votre antivirus, qu’il soit intégré au système ou installé à part, est bien actif et se met à jour quotidiennement.
- Si vous gérez un site, activez les mises à jour automatiques du moteur et faites le tri dans les extensions abandonnées.
- Pensez à la box, aux caméras et aux objets connectés : regardez au moins une fois s’ils reçoivent encore des mises à jour.
Dernier point, et il compte : ne laissez pas s’accumuler les avertissements de sécurité, qu’ils viennent du système, de l’antivirus ou d’un logiciel de bureautique. Une alerte prise au sérieux tout de suite coûte toujours moins cher qu’un appareil à réinstaller entièrement. En cas de doute, faites regarder par quelqu’un qui s’y connaît, une fausse alerte se règle en cinq minutes, une attaque réussie, beaucoup moins.
