Mises à jour logicielles

Comparée comme du texte, la version « 2.9.1 » se range après « 2.10.0 », car le caractère 9 vient après 1 ; comparée comme des nombres, 2.9.1 est la plus ancienne.

2.10.0 est-elle plus récente que 2.9.1 ?

Essaie ceci avant de lire quoi que ce soit d'autre. Ton téléphone indique que la version 2.10.0 est disponible, et tu as la 2.9.1. Est-ce une mise à niveau ? Lance l'exercice ci-dessous sans le modifier et regarde la première ligne. Elle affiche false. C'est faux. Le texte est comparé caractère par caractère, et au troisième caractère 9 vient après 1 : la comparaison s'arrête là et ne voit jamais le 10. Corrige la fonction, puis continue la lecture.

Ce que contient vraiment une mise à jour

Tout gros programme contient des erreurs. Certaines sont des vulnérabilités, des failles qui permettent à quelqu'un d'exécuter son propre code sur ton appareil, de lire des fichiers interdits ou de prendre le contrôle d'un compte. Quand l'éditeur découvre une faille ou en est averti, il publie un correctif, appelé patch, dans une mise à jour. Le message de la CISA est court : n'appuie pas sur « Me le rappeler plus tard ». Les criminels étudient les correctifs pour savoir quelle faille a été corrigée, puis s'attaquent aux appareils qui ne les ont pas encore installés. Les jours qui suivent la sortie d'une mise à jour sont donc ceux où un appareil non mis à jour est le plus exposé.

Une vulnérabilité que des attaquants exploitent avant qu'un correctif existe s'appelle une faille zero-day (ou « jour zéro »), car l'éditeur a eu zéro jour pour la corriger. Les zero-days font les gros titres. La plupart des attaques réussies exploitent pourtant des failles corrigées depuis longtemps, sur des appareils qui n'ont jamais installé le correctif. La CISA tient un catalogue public, Known Exploited Vulnerabilities, qui recense les failles observées dans de vraies attaques, et les agences fédérales américaines doivent les corriger avant des dates limites fixées. Pour tous les autres, la leçon est la même : installe les mises à jour peu après leur arrivée.

Laisser les appareils se mettre à jour seuls

L'habitude la plus simple est d'activer les mises à jour automatiques. La CISA conseille de regarder dans les réglages de l'appareil, à la rubrique Logiciel ou Sécurité, ou de chercher « mises à jour automatiques » dans les réglages. Tout ne se met pas à jour tout seul : installe donc aussi celles qu'on te signale, en priorité pour les navigateurs web et les logiciels de sécurité, exposés à Internet toute la journée. Pense aux appareils moins évidents. La box, les téléviseurs connectés, les caméras et les autres objets connectés font aussi tourner des logiciels, et les recommandations de la CISA contre les rançongiciels citent ensemble les systèmes d'exploitation, les applications et les micrologiciels parmi ce qu'il faut tenir à jour.

Ne récupère les mises à jour que dans les réglages de l'appareil ou dans sa boutique d'applications officielle. Une page web qui t'annonce soudain que ton navigateur est obsolète et te propose un téléchargement est une ruse courante pour installer un logiciel malveillant. Surveille aussi la fin du support. Quand un éditeur cesse de publier des mises à jour de sécurité pour un vieux système d'exploitation ou un vieil appareil, les nouvelles failles ne sont plus jamais corrigées. Le site Boho Nara de la KISA publie des avis quand le support d'un logiciel très utilisé prend fin, en conseillant une mise à niveau ou un passage à un produit encore pris en charge.

Les mises à jour demandent souvent un redémarrage pour prendre effet, et un redémarrage en attente, c'est une mise à jour qui ne te protège pas encore. Choisis un moment, par exemple la fin de la journée, et laisse l'appareil redémarrer quand il le demande. Sur un téléphone, garde assez d'espace libre pour que les mises à jour se téléchargent, car un téléphone plein est une raison fréquente pour laquelle elles s'arrêtent sans bruit. Une fois par mois, ouvre l'écran des mises à jour de chaque appareil et vérifie qu'il indique être à jour.