Une fin de support Windows ou Linux peut avoir beaucoup d’impact. Découvrez quels sont ces impacts ? Les risques encourus ? Comment fonctionne ces supports ?
Qu’est-ce que le support d’un OS
Le temps de support est la période durant laquelle un système d’exploitation est maintenu par son éditeur. Nous verrons que chaque éditeur a sa stratégie mais nous pouvons dire qu’en général, la politique de support se fait par phase.
Le système d’exploitation est une partie essentielle au bon fonctionnement de son infrastructure. C’est une couche technique qui est le terreau des applications et donc de la valeur ajoutée à son business. C’est donc une brique technique mais qui est incontournable.
Que ce soit le système d’exploitation serveur, utilisateur ou même embarqué, son choix est vite imposé par les contraintes applicatives, budgétaires ou politiques. Néanmoins, on oublie souvent de prendre en compte le temps que ce Système d’Exploitation sera supporté. Nous verrons que ce détail a des incidences sur la sécurité et l’évolutivité de son infrastructure.
Stratégie de support Windows
Globalement le cycle de vie des systèmes d’exploitation Windows s’articule autour de 3 périodes :
- Période 1 : entre le lancement du produit et la première date de fin de support Windows. C’est la période où la maintenance est pleine. Nous avons les améliorations fonctionnelles, les bugs, les patchs de sécurité.
- Période 2 : entre la fin de cette période 1 et la date de fin de vie du produit (end of life). C’est la maintenance est partielle qui est focalisée sur les bugs bloquants et les patchs de sécurité. Donc sans plus aucunes améliorations fonctionnelles.
- Période 3 : entre la fin de la période 2 et la fin de votre budget pour cette maintenance. En effet, Microsoft propose une extension de support moyennant une contribution financière.
L’ordre de grandeur entre les périodes 1 et 2 est d’environ 5 années jusqu’à l’avènement de Windows 10 où avec ce dernier ses sous-versions ont accéléré les fins de support de l’ordre de 2 ans. Le cycle de vie de Windows 10 est donc plus bref. Sauf pour les versions spécifiques de Windows 10 estampillées LTSB (Long-Term Servicing Branch) et LTSC (Long-Term Servicing Channel). Ces dernières versions respectent le cycle de vie habituel d’environ 10 ans découpé en 2 période d’environ 5 années.
Cette dernière notion de LTS (Long Term Support) est donc primordiale à avoir en tête lors d’un choix d’un OS (et aussi d’une application).
Stratégie de support des grandes distributions Linux
Le cas Redhat
Les familles de système d’exploitation RedHat Enterprise Linux ont un cycle de vie long (environ 10 ans) quelque soit les versions utilisées :
- Période 1 : entre le lancement et la première date de fin de support. C’est la période où la maintenance est complète. Toutes améliorations fonctionnelles, bugs, patchs de sécurité ou encore drivers sont publiés.
- Période 2 : pour les versions 5, 6, 7 de Redhat uniquement. C’est une petite période, d’environ 1 an, où les bugs bloquants, les patchs de sécurité sont publiés, ainsi que quelques drivers pour certains matériels.
- Période 3 : support plus léger qui ne concerne que les bugs bloquants et les patchs de sécurité.
- Période 4 : support restreint qui est étendu par le biais d’un abonnement commercial après la date de fin officielle pour continuer les patchs de sécurité ainsi que les bug bloquants uniquement.
Le cas Ubuntu
Les familles de système Ubuntu ont un cycle de vie un peu plus frénétique d’une durée de 6 mois entrecoupées par des versions estampillées LTS. Ainsi une version non-LTS ne sera supportée qu’un peu moins d’un an. Par contre une version LTS sera quant à elle supportée pendant 5 ans. Cette période se veut unique et complète en termes de bugs corrigés, d’améliorations fonctionnelles ou de patchs de sécurité. Cette distribution est tout de même tributaire du support de Debian en se basant notamment sur ces repos ‘testing’ pour une version donnée.
Les incidences de la fin de support OS sur mon infrastructure
Comme nous venions de le dire, la fin de support Windows ou Linux expose à ces risques :
- risque sur la sécurité de mon infrastructure
- risque sur ma capacité à faire évoluer mon infrastructure
Risques liés à la sécurité
Le risque majeur lorsque que mon système d’exploitation n’est plus supporté par l’éditeur est le fait que toute nouvelle attaque trouvée sur ce système ne sera pas colmatée. Certes, nous avons pu voir que certains éditeurs ont patché des failles importantes après la fin officielle du support mais cela reste exceptionnel.
Il est donc important pour la santé de son infrastructure de mettre à jour les différents patchs de l’éditeur, mais surtout que ces mises à jour soient encore disponibles.
La chance que nous ayons, est que les éditeurs ont globalement une stratégie identique quand il s’agit de la sécurité. C’est la période la plus longue qui est proposée par l’éditeur. Prenons l’exemple de Windows 7, ses phases de support se présentent ainsi :
- Phase 1 : maintenance complète : correction de bug, ajout de fonctionnalité et patch de sécurité, date de fin : 13 Janvier 2015
- Phase 2 : maintenance partielle : correction de bug uniquement bloquant et patch de sécurité, date de fin : 14 Janvier 2020
Windows 7 a été disponible au grand public le 22 Octobre 2009. Nous avons eu un support d’un peu plus de 10 ans pour l’aspect sécurité. Néanmoins, dès lors que le support a pris fin, déjà que les risques liés à la sécurité sont grands même en période de support, sans maintenance nous nous exposons à un risque démultiplié.
Evolution de mon infrastructure
Ce n’est pas un scoop, l’évolution des technologies et autres fonctionnalités ne font qu’évoluer dans le domaine IT. Chaque jour avec son lot de nouveautés. C’est d’autant plus vrai d’un point de vue des applications qui se basant sur des capacités à la fois matérielles et OS.
Il est donc important de pouvoir utiliser ces nouveautés lorsqu’elles ont un réel impact sur son business. La veille est donc primordiale. Mais afin d’aller le plus rapidement sur ce chemin, il faut que les briques les plus basse de son infrastructure soient solides et suffisamment récentes ou pouvant être facilement mises à jour.
Ainsi si nous reprenons nos phases décrites plus haut, pour maximiser les chances d’avoir cette nouveauté le plus rapidement possible dans notre infrastructure, c’est d’être dans la phase 1. Tout dépend si l’éditeur aura joué le jeu mais globalement nous en maximisons les chances. C’est bien durant cette phase que de nouvelles fonctionnalités peuvent être poussées par l’éditeur.