CrowdStrike a provoqué il y a plusieurs mois une panne sur Debian et Rocky Linux

Cas de panne sur Debian et Rocky Linux

• CrowdStrike est un fournisseur bien connu de services de cybersécurité, récemment identifié comme étant à l’origine du problème de Blue Screen of Death (BSOD) sur des PC Windows
• Ce problème a perturbé les opérations dans de nombreux secteurs, notamment les compagnies aériennes, les banques et les prestataires de santé, mais n’a pas affecté les Mac ni les PC Linux
• Cependant, les utilisateurs de Debian et de Rocky Linux ont eux aussi subi pendant plusieurs mois de graves pannes causées par des mises à jour de CrowdStrike, sans que cela n’attire vraiment l’attention
• Cela soulève des inquiétudes quant aux procédures de mise à jour logicielle et de test de CrowdStrike

Cas de panne sur Debian Linux

• En avril, tous les serveurs Debian Linux d’un laboratoire de recherche en civic tech sont tombés en panne simultanément à cause d’une mise à jour de CrowdStrike et ont refusé de redémarrer
• Cette mise à jour n’était pas compatible avec la dernière version stable de Debian, alors même que cette configuration Linux était présentée comme prise en charge
• L’équipe IT a découvert que le système redémarrait après la suppression de CrowdStrike, puis a signalé l’incident
• Un membre de l’équipe s’est plaint de la lenteur de la réponse de CrowdStrike, affirmant qu’il avait fallu plusieurs semaines après la reconnaissance du problème pour obtenir une analyse de la cause racine
• L’analyse a montré que cette configuration Debian Linux n’était pas incluse dans la matrice de test de CrowdStrike

Cas de panne sur Rocky Linux

• Après une mise à niveau vers RockyLinux 9.4, des utilisateurs de CrowdStrike ont également signalé un problème similaire où des serveurs tombaient en panne à cause d’un bug du noyau
• L’équipe de support de CrowdStrike a reconnu le problème, ce qui montre un schéma de tests insuffisants et un manque d’attention concernant les problèmes de compatibilité entre différents systèmes d’exploitation

Pistes d’amélioration

• Pour éviter ce type de problème à l’avenir, CrowdStrike doit faire des tests rigoureux sur toutes les configurations prises en charge sa priorité
• Les organisations doivent aussi surveiller attentivement les mises à jour de CrowdStrike et préparer des plans d’urgence pour atténuer les pannes potentielles

[click]

On dirait que l’IA a résumé la publicité au lieu du corps de l’article.

[xguru]

Le site Neowin a une structure HTML étrange, si bien que toutes les publicités de la barre supérieure sont reconnues comme faisant partie du corps de l’article. J’ai corrigé cela.

[GN⁺]

Commentaire Hacker News

• L'écosystème OSS/Linux est plus robuste que les logiciels d'entreprises valant des milliards de dollars, bien qu'il soit composé de groupes indépendants et faiblement coordonnés écrivant gratuitement du code
  • Les programmeurs système OSS écrivent leur code en public, peut-être moins parce que « assez d'yeux rendent les bugs superficiels » que parce que « n'importe quel regard peut faire honte à du mauvais code »
  • Il est prévu de rendre open source un projet commercial, mais il faut faire beaucoup de corrections avant de le publier
  • J'ai vu plusieurs bases de code commerciales fermées, et j'en ai vu beaucoup qui étaient bien pires
• Un commentaire indiquait que Crowdstrike avait causé des problèmes sur des systèmes Linux de production le 19 avril
• La qualité des produits est en chute libre, des avions jusqu'aux logiciels, et le manque de QA est courant de nos jours
• Quand je travaillais dans ce domaine, je me demandais toujours : « Est-ce que ces choses sont réellement utiles ? »
  • Je me demande s'il existe des études tierces sur l'efficacité de Crowdstrike et consorts, ou si cela ne fait que détériorer nos vies au nom du théâtre de la sécurité
• Il a été rapporté que Crowdstrike injectait des DLL boguées dans des applications Windows, ce qui pouvait faire planter les applis d'elles-mêmes
• Le problème, c'est que les entreprises peuvent utiliser des clauses contractuelles pour échapper à la responsabilité des dommages indirects
  • Il faudrait peut-être invalider ce type de clauses, comme pour les contrats excluant les pertes consécutives à des décès
  • À minima, il faudrait les limiter
• La mise à jour n'était pas compatible avec la dernière version stable de Debian
  • L'analyse a montré que la configuration Debian Linux n'était pas incluse dans la matrice de test
  • C'est pratiquement de la fraude. Ils déclarent le support, mais ne testent pas en réalité
  • C'est comme un constructeur automobile qui n'installerait pas de ceintures de sécurité. Je me demande pourquoi Crowdstrike n'est pas sanctionné
• Crowdstrike devrait faire des tests rigoureux sur toutes les configurations prises en charge sa priorité
  • Les tests coûtent cher, et ils ne vendent pas leur produit à des entreprises qui en ont besoin ou qui le veulent dans un marché concurrentiel
  • Leur modèle économique consiste à imposer le produit aux entreprises, donc ils n'ont aucun intérêt à investir dans la qualité
• Dire que « personne ne l'a remarqué » signifie que Crowdstrike a étouffé l'attention médiatique
  • Le jour où le bug s'est produit, un post HN contenait des commentaires disant qu'ils essayaient de signaler le problème depuis des mois
  • L'article écrit aussi que des gens l'avaient remarqué. Je me demande donc qui ne l'a pas remarqué, ou si le problème a simplement été ignoré parce qu'il n'était pas assez populaire
• Je me demande s'il y a ici des gens qui utilisent Crowdstrike, et ce qu'il fait exactement
  • Il est installé sur l'ordinateur portable de l'entreprise et ressemble à un keylogger et à un moniteur d'activité
  • On dit « je n'ai rien à cacher », mais cela reste inconfortable d'être surveillé par quelque super-utilisateur de l'entreprise