Chapitre 24 Garder un système à jour

Comme expliqué précédemment, les logiciels malveillants se faufilent dans nos ordinateurs, entre autres, par l’intermédiaire de « failles de sécurité ».

Des corrections pour ces erreurs de programmation (ou de conception) sont régulièrement mises à disposition, au fur et à mesure qu’elles sont identifiées. Une fois que ces corrections sont disponibles, il est particulièrement important de remplacer les anciennes versions des logiciels. En effet, les problèmes corrigés, qui pouvaient n’avoir auparavant été identifiés que par quelques spécialistes, sont ensuite connus et référencés publiquement… donc plus faciles à exploiter.

24.1 Garder Tails à jour

Durée : Trente minutes à une heure, plus environ trente minutes de téléchargement.

Un système live étant une collection indivisible de logiciels, exécutés à partir d’un DVD ou d’une clé USB, la seule solution praticable pour utiliser les dernières versions de ces logiciels est de s’assurer qu’on utilise bien la dernière version du système live.

Après avoir connecté le système live Tails à Internet, une fenêtre Une mise à niveau est proposée ou Une nouvelle version est proposée apparaît pour nous prévenir lorsqu’une nouvelle version qui corrige des failles de sécurité est disponible.

Dans le cas où l’on utilise un DVD, il faut détruire celui contenant l’ancienne version et en graver un nouveau. Sauf si celui-ci est réinscriptible, auquel cas il suffira de l’effacer pour y graver la dernière version de Tails.

Pour une clé USB et dans la mesure où l’on dispose d’une connexion Internet, on peut effectuer la mise à jour directement. Cliquer sur Mettre à niveau maintenant et de suivre l’assistant tout au long du processus. Si une erreur se produit, ou s’il est nécessaire d’utiliser une autre méthode de mise à jour, l’assistant nous orientera vers la page de la documentation appropriée.

Celle-ci se trouve à partir de la Documentation de Tails apparaissant sur le bureau. Dans l’index qui s’ouvre, chercher la section Téléchargement, installation et mise à jour et cliquer sur la page Upgrading automatically.

24.2 Garder à jour un système chiffré

Une fois installé, un système chiffré doit être gardé à jour pour qu’on puisse continuer de lui faire confiance. Les sections qui suivent concernent le système Debian, mais les concepts s’appliquent dans les grandes lignes à quasiment tous les autres systèmes.

Le projet Debian publie, à peu près tous les deux ans, une version stable. Cela représente un énorme effort pour coordonner la compatibilité des différentes versions des logiciels, effectuer de nombreux tests et s’assurer qu’il n’y reste aucun défaut majeur.

24.3 Les mises à jour quotidiennes d’un système chiffré

Durée : Une minute pour lancer la mise à jour, plus un temps variable pour les téléchargements et l’installation, pendant lequel on peut continuer à utiliser son ordinateur.

Tout l’intérêt d’une version stable de Debian est que par la suite, les logiciels qui la composent ne sont plus modifiés en profondeur : les mises à jour incluent les améliorations de traduction, les corrections de problèmes liés à la sécurité ou empêchant d’utiliser normalement un programme, etc.

Généralement, ces nouvelles versions sont installées automatiquement par le système, à partir du moment où il dispose d’un accès Internet, et ne devraient pas perturber les petites habitudes qu’on a prises.

24.3.1 Procéder aux mises à jour

Lorsqu’on a installé l’environnement graphique de bureau, le système vérifiera automatiquement, lorsqu’il sera connecté à Internet, la disponibilité de nouvelles versions dans les dépôts configurés.

Lorsque c’est le cas, une notification indiquant que Des mises à jour logicielles sont disponibles apparaîtra.

Cliquer sur Afficher dans la notification, ce qui ouvre Logiciels.

Une liste des mises à jour s’affiche. Si Logiciels ne les a pas déjà toutes téléchargées, un bouton Télécharger apparaît, sur lequel il faut cliquer pour lui demander de le faire.

Une fois les mises à jour téléchargées, le bouton Redémarrer et mettre à jour apparaît. Cliquer sur ce bouton, puis confirmer en cliquant à nouveau sur Redémarrer et installer. L’ordinateur redémarre et demande la phrase de passe de chiffrement du disque dur, avant d’installer les mises à jour. L’ordinateur redémarre à nouveau sur un système à jour et demande la phrase de passe.

24.3.2 Supprimer les paquets obsolètes

Une fois l’ordinateur redémarré, il faut encore demander au système de supprimer les composants logiciels qui ne sont plus nécessaires : cette opération n’étant pas effectuée automatiquement par le système, il nous faut la faire régulièrement, sous peine de voir notre disque — et en particulier la partition de démarrage /boot — se remplir petit à petit, jusqu’au point où il ne sera plus possible de faire de nouvelles mises à jour.

Il n’est pas encore possible de faire cette opération à travers l’interface graphique, il faut donc ouvrir un Terminal.

Commencer par devenir admin en tapant la commande :

sudo su

L’ordinateur devrait nous demander notre mot de passe de session. Si l’on obtient bash: sudo : commande introuvable, alors taper plutôt :

su -

Notre terminal a maintenant le pouvoir d’administration sur notre système.

La commande suivante, à taper dans ce terminal, permet alors de supprimer les paquets obsolètes :

apt autoremove

24.4 Passage à une nouvelle version stable

Durée : Une demi-journée à une journée, dont un long temps de téléchargement pendant lequel on peut continuer à utiliser son ordinateur, et un long temps d’installation pendant lequel il vaut mieux ne plus l’utiliser.

Lorsqu’une nouvelle version stable de Debian sort, le projet veille à garder à jour la précédente version stable, appelée oldstable pendant une durée d’un an¹⁸⁸ minimum. Cette durée est prolongée par un équipe de maintenance à long terme (Long Term Support)¹⁸⁹. Ainsi, la version de Debian utilisée dans l’édition 2017 de ce guide, Debian 9 Stretch, n’était prise en charge par l’équipe de la sécurité de Debian que jusqu’à juillet 2020 et l’équipe Long Term Support en avait repris la maintenance jusqu’à juin 2022.

Il est donc nécessaire de profiter de cette période pour prendre le temps de mettre à jour son système vers la nouvelle version stable. C’est un processus plus délicat que les mises à jour quotidiennes. Pas nécessairement dans sa réalisation même, mais dans le fait qu’il est ensuite nécessaire de s’adapter aux changements qu’auront connu les logiciels que nous utilisons habituellement.

Dans tous les cas, avant de continuer il est vivement conseillé de sauvegarder ses données.

Deux possibilités s’offrent à nous :

Mettre à jour notre système vers la nouvelle version stable. L’avantage est que cela permet de garder les logiciels installés et les configurations qu’on a effectuées au fil du temps… ce qui peut aussi être un inconvénient si on a trop bidouillé. Si l’on choisit cette possibilité, continuer d’utiliser cet outil.
Faire une nouvelle installation de la nouvelle version de Debian. L’avantage est d’en profiter pour repartir sur des bases propres. L’inconvénient est de perdre nos configurations spécifiques, et qu’il faut à nouveau télécharger et vérifier le programme d’installation. Si l’on choisit cette possibilité, une fois la sauvegarde effectuée, la suite se trouve dans l’outil faire une nouvelle installation de Debian.

La précédente mise à jour du Guide d’autodéfense numérique utilisait la version 9 de Debian, appelée Stretch, sortie en juin 2017. À la sortie de cette mise à jour du guide, Debian en est à la version 11, appelée Bullseye, sortie en août 2021. Il est risqué de passer directement de la version 9 à la 11 sans passer par la version 10, appelée Buster, sortie en juillet 2019.

Pour savoir quelle version de Debian on utilise, ouvrir la vue d’ensemble des activités en appuyant sur la touche (⌘ sur un Mac), puis taper param et cliquer sur Paramètres. Dans la colonne de gauche aller tout en bas et cliquer sur À Propos. La version de Debian utilisée apparaît sous Nom du système d’exploitation.

Si l’on est encore à la version 9 Stretch, on va donc proposer une mise à jour en deux temps, de la version 9 Stretch à la version 10 Buster, puis de la version 10 Buster à la version 11 Bullseye. Il est possible de suivre seulement la seconde étape si on est déjà à la version 10 Buster.

24.4.1 Passage de Stretch à Buster

La procédure détaillée ici concerne la mise à jour de la version de Debian appelée Stretch ou 9, sortie en juin 2017, à la version Buster ou 10, sortie en juillet 2019.

Nous documenterons ici une procédure de mise à jour simplifiée qui a été testée sur des installations de Debian Stretch avec un environnement graphique de bureau GNOME et des logiciels provenant uniquement des dépôts officiels de Debian.

Elle nécessite de disposer, pour la durée de la mise à jour, d’une connexion à Internet.

Attention : cette procédure simplifiée a moins de chances de fonctionner lorsqu’on a bidouillé son système en ajoutant des sources de mises à jour non officielles.

Si c’est le cas, se référer aux notes de publication officielles du projet Debian, notamment la partie Mises à niveau depuis Debian 9 (Stretch) et la partie Problèmes à connaître pour Buster.

24.4.1.1 Mettre à jour sa Debian Stretch

Avant tout, il est nécessaire de disposer d’une Debian Stretch à jour. Sans cela, la mise à niveau risque fort de ne pas fonctionner. Au cas où ces mises à jour n’auraient pas été faites au quotidien, c’est le moment de rattraper le retard. S’il vous est proposé de redémarrer, suite à de nombreuses mises à jour, le faire avant de procéder à la suite des opérations.

24.4.1.2 S’assurer d’avoir assez d’espace libre sur le disque dur

Afin d’éviter toute mauvaise surprise, il faut avoir au moins 4 Go d’espace libre sur le disque dur qui contient le système.

Ouvrir la vue d’ensemble des Activités en appuyant sur la touche (⌘ sur un Mac), puis taper fich et cliquer sur Fichiers. Dans la barre de gauche, cliquer sur Autres emplacements. À droite de la ligne Ordinateur, l’espace disponible s’affiche, par exemple 11,7 Go/17,1 Go de disponibles signifie qu’on a 11,7 Go disponibles.

24.4.1.2.1 Libérer de l’espace sur le disque si nécessaire

S’il n’y a pas assez d’espace sur le disque dur, une solution est d’effacer d’anciennes mises à jour devenues obsolètes. Pour cela, ouvrir la vue d’ensemble des Activités en appuyant sur la touche (⌘ sur un Mac), puis taper paquet et cliquer sur Gestionnaire de paquets. Puisque le gestionnaire de paquets permet de modifier les logiciels installés sur l’ordinateur, un mot de passe est nécessaire pour l’ouvrir.

Dans le menu Configuration choisir Préférences, puis sélectionner l’onglet Fichiers et cliquer sur le bouton Supprimer les paquets en cache, puis sur OK et fermer le Gestionnaire de paquets Synaptic.

Vérifier à nouveau l’espace disque disponible, comme expliqué ci-dessus. Si cela ne suffit pas, il faudra supprimer certains de nos propres fichiers ou supprimer des logiciels.

24.4.1.3 Désactiver les dépôts non-officiels

La mise à jour n’est testée qu’avec les paquets officiellement fournis par Debian Stretch. On va donc désactiver tous les autres dépôts Debian, y compris les dépôts backports.

Pour cela, ouvrir la vue d’ensemble des Activités en appuyant sur la touche (⌘ sur un Mac), puis taper update et cliquer sur Software & Updates (logiciels et mises à jour).

Dans l’onglet Other software (autres logiciels), décocher toutes les cases qui seraient cochées. Lorsqu’on effectue un changement, on doit entrer le mot de passe d’administration.

Cliquer sur Fermer. Si l’on a effectué des changements, une fenêtre affiche Les informations sur les logiciels disponibles sont obsolètes. Cliquer sur Actualiser.

24.4.1.4 Désactiver l’économiseur d’écran

Lors de la mise à jour, l’économiseur d’écran peut se bloquer, et laisser l’écran verrouillé. Il est donc prudent de le désactiver pour le temps de la mise à jour.

Pour cela, ouvrir la vue d’ensemble des Activités en appuyant sur la touche (⌘ sur un Mac), puis taper param et cliquer sur Paramètres. Dans la colonne de gauche cliquer sur Confidentialité.

Cliquer sur Verrouillage de l’écran. Dans la fenêtre qui s’affiche, désactiver Verrouillage automatique de l’écran. Fermer cette fenêtre en cliquant sur , puis à nouveau sur en haut à droite, pour fermer la fenêtre Paramètres.

24.4.1.5 Ouvrir un terminal

Il n’est pas encore possible de faire cette opération à travers l’interface graphique, il faut donc ouvrir un Terminal.

Commencer par devenir admin en tapant la commande :

sudo su

L’ordinateur devrait nous demander notre mot de passe de session. Si l’on obtient bash: sudo : commande introuvable, alors taper plutôt :

su -

Notre terminal a maintenant le pouvoir d’administration sur notre système.

24.4.1.6 Mettre à jour les dépôts

Commençons par modifier les dépôts configurés afin d’utiliser ceux dédiés à la nouvelle version. On va ouvrir le fichier contenant la liste des dépôts utilisés par Debian dans le terminal.

gedit /etc/apt/sources.list

L’éditeur de texte s’ouvre. Choisir → Rechercher et remplacer. Dans la fenêtre qui s’ouvre, Rechercher « stretch » pour le Remplacer par « buster ». Cliquer ensuite sur le bouton Tout remplacer, puis fermer la fenêtre de recherche avec .

Si une installation ou une mise à jour a été faite auparavant en utilisant un CD ou un DVD, c’est une bonne idée de chercher les lignes qui commencent par « deb cdrom: » pour les supprimer.

On peut ensuite cliquer sur Enregistrer puis fermer l’éditeur.

Nous avons modifié la liste des dépôts ; il faut donc maintenant télécharger la liste des paquets qui y sont disponibles, avant de pouvoir les installer ; pour cela, toujours dans le Terminal qu’on gardera ouvert, taper la commande :

apt update

Si une erreur s’affiche à propos du « cache système d’AppStream » on peut l’ignorer sans inquiétude.

24.4.1.7 Lancer la mise à jour proprement dite

La mise à jour se fait en plusieurs étapes que l’on pilotera à l’aide de notre Terminal.

Notre première commande dit au gestionnaire de paquets, d’une part, que nous préférons qu’il nous pose le moins de questions possible concernant les détails de la mise à jour ; d’autre part, qu’on ne veut pas voir l’historique des changements :

export DEBIAN_PRIORITY=critical APT_LISTCHANGES_FRONTEND=none

Notre deuxième commande effectue la première partie de la mise à jour du système :

apt upgrade

Assez rapidement, le terminal affiche Souhaitez-vous continuer [O/n] ? Après avoir confirmé en appuyant sur Entrée (↲ ou return), on peut voir apparaître une première série de fenêtres bleues nous demandant comment gérer certains changements. Lorsqu’on ne cherche pas à sortir des choix de Debian, appuyer sur Entrée à chaque fois est suffisant.

Une fenêtre qui indique qu’un ﬁchier de conﬁguration a été modiﬁé et qui nous demande si on veut le remplacer par sa nouvelle version peut aussi s’afficher. Le Garder ou le Remplacer est un choix qui dépend de l’importance des modiﬁcations que l’on a pu y apporter ainsi que des nouveautés proposées. Il n’y a donc pas de réponse générique ici. Il faudra soit comparer les versions, soit jouer à pile ou face.

Au bout d’un moment, un certain nombre de paquets ont déjà été mis à jour, et le terminal devrait revenir à l’invite de commande.

La commande suivante terminera la mise à jour du système :

apt full-upgrade

Assez rapidement, le terminal affiche à nouveau Souhaitez-vous continuer [O/n] ? Après avoir confirmé en appuyant sur Entrée (↲ ou return), on peut voir apparaître une seconde série de fenêtres bleues nous demandant comment gérer certains changements. Lorsqu’on ne cherche pas à sortir des choix de Debian, appuyer sur Entrée à chaque fois est suffisant.

À cette étape de la mise à jour, il peut arriver que le bureau GNOME affiche divers messages d’erreurs. Ce n’est pas particulièrement inquiétant, dans la mesure où l’on est en train de réinstaller de nombreux composants du système. Ces problèmes devraient se résoudre d’eux-mêmes une fois le processus terminé.

Quelques évolutions du système plus tard, le terminal nous invite une nouvelle fois à lui indiquer des commandes.

On peut alors saisir une dernière commande, pour libérer de l’espace disque :

apt autoremove

Puis :

apt clean

24.4.1.8 Premier redémarrage

Le moment est maintenant venu de redémarrer le système, en utilisant le menu en haut à gauche et en choisissant Redémarrer.

24.4.2 Passage de Buster à Bullseye

La procédure détaillée ici concerne la mise à jour de la version de Debian appelée Buster ou 10, sortie en juillet 2019, à la version Bullseye ou 11, sortie en août 2021.

Nous documenterons ici une procédure de mise à jour simplifiée qui a été testée sur des installations de Debian Buster avec un environnement graphique de bureau GNOME et des logiciels provenant uniquement des dépôts officiels de Debian.

Elle nécessite de disposer, pour la durée de la mise à jour, d’une connexion à Internet.

Attention : cette procédure simplifiée a moins de chances de fonctionner lorsqu’on a bidouillé son système en ajoutant des sources de mises à jour non officielles.

Si c’est le cas, se référer aux notes de publication officielles du projet Debian, notamment la partie Mises à niveau depuis Debian 10 (Buster) et la partie Problèmes à connaître pour Bullseye.

24.4.2.1 Mettre à jour sa Debian Buster

Avant tout, il est nécessaire de disposer d’une Debian Buster à jour. Sans cela, la mise à niveau risque fort de ne pas fonctionner. Au cas où ces mises à jour n’auraient pas été faites au quotidien, c’est le moment de rattraper le retard. S’il vous est proposé de redémarrer, suite à de nombreuses mises à jour, le faire avant de procéder à la suite des opérations.

24.4.2.2 S’assurer d’avoir assez d’espace libre sur le disque dur

Afin d’éviter toute mauvaise surprise, il faut avoir au moins 4 Go d’espace libre sur le disque dur qui contient le système.

24.4.2.2.1 Libérer de l’espace sur le disque si nécessaire

S’il n’y a pas assez d’espace sur le disque dur, il faudra supprimer certains de nos propres fichiers ou supprimer des logiciels.

24.4.2.3 Désactiver l’économiseur d’écran

Lors de la mise à jour, l’économiseur d’écran peut se bloquer, et laisser l’écran verrouillé. Il est donc prudent de le désactiver pour le temps de la mise à jour.

24.4.2.4 Ouvrir un terminal

Il n’est pas encore possible de faire cette opération à travers l’interface graphique, il faut donc ouvrir un Terminal.

Commencer par devenir admin en tapant la commande :

sudo su

L’ordinateur devrait nous demander notre mot de passe de session. Si l’on obtient bash: sudo : commande introuvable, alors taper plutôt :

su -

Notre terminal a maintenant le pouvoir d’administration sur notre système.

24.4.2.5 Mettre à jour les dépôts

Commençons par modifier les dépôts configurés afin d’utiliser ceux dédiés à la nouvelle version.

Attention : c’est dans cette étape que se situe la différence avec la mise à jour précédente.

Dans le terminal taper :

sed -i 's,buster/updates,bullseye-security,g' /etc/apt/sources.list
sed -i 's,buster,bullseye,g' /etc/apt/sources.list

On peut ensuite cliquer sur Enregistrer puis fermer l’éditeur.

apt update

24.4.2.6 Lancer la mise à jour proprement dite

La mise à jour se fait en plusieurs étapes que l’on pilotera à l’aide de notre Terminal.

export DEBIAN_PRIORITY=critical APT_LISTCHANGES_FRONTEND=none

Notre deuxième commande effectue la première partie de la mise à jour du système :

apt upgrade

Au bout d’un moment, un certain nombre de paquets ont déjà été mis à jour, et le terminal devrait revenir à l’invite de commande.

La commande suivante terminera la mise à jour du système :

apt full-upgrade

Quelques évolutions du système plus tard, le terminal nous invite une nouvelle fois à lui indiquer des commandes.

On peut alors saisir une dernière commande, pour libérer de l’espace disque :

apt autoremove

Puis :

apt clean

24.4.2.7 Premier redémarrage

Le moment est maintenant venu de redémarrer le système, en utilisant le menu en haut à gauche et en choisissant Redémarrer.

24.4.2.8 Réactiver les dépôts Debian supplémentaires

On peut maintenant souffler. Le plus gros est fait. Il reste toutefois encore quelques petits ajustements…

Si l’on a désactivé des dépôts non officiels avant la mise à jour, c’est le moment de vérifier qu’on en a toujours besoin avec la nouvelle version de Debian. Si oui, les réactiver. On peut également réactiver l’économiseur d’écran si on l’a désactivé auparavant.

24.4.2.9 Réactiver le verrouillage de l’écran

Cliquer sur Verrouillage de l’écran. Dans la fenêtre qui s’affiche, activer Verrouillage automatique de l’écran. Fermer cette fenêtre en cliquant sur .

24.4.2.10 S’assurer que le nouveau système fonctionne correctement

Il peut être utile de s’assurer que les actions et les commandes les plus courantes sont fonctionnelles. Le cas échéant, il pourrait être nécessaire de diagnostiquer et de résoudre les problèmes. Il vaut certainement mieux le faire dès la prise de contact avec le nouveau système, afin de pouvoir repartir pour deux ans avec un système fonctionnel. Les problèmes les plus courants sont souvent décrits, avec les astuces pour les résoudre, dans diverses documentations sur Debian et GNU/Linux.

Rappelons également qu’il existe des notes de publication officielles du projet Debian.