Mises à jour et antivirus : pourquoi et comment

« Une mise à jour est disponible. Me le rappeler plus tard. » Combien de fois avez-vous cliqué sur ce bouton ? Les mises à jour sont pourtant l'une des protections les plus efficaces qui existent, et elles ne coûtent rien. Cette leçon vous explique pourquoi elles comptent autant, ce que fait vraiment un antivirus, et comment organiser tout cela sans y passer vos soirées.

Vos comptes sont maintenant mieux défendus (chapitre 2). Mais un mot de passe solide ne sert à rien si l'appareil sur lequel vous le saisissez est compromis. Ce chapitre s'occupe de vos appareils, en commençant par la base.

Qu'est-ce qu'une faille de sécurité ?

Un logiciel est écrit par des humains, et il contient presque toujours des erreurs. Certaines de ces erreurs ont des conséquences sur la sécurité : on les appelle des vulnérabilités (ou « failles »). Une faille peut, par exemple, permettre à un programme malveillant de s'exécuter sans votre accord quand vous ouvrez un fichier ou visitez un site.

Quand une faille est découverte, l'éditeur du logiciel publie un correctif, distribué sous forme de mise à jour. Mais la publication du correctif révèle aussi l'existence de la faille : les attaquants savent désormais où chercher. S'ouvre alors une course entre ceux qui appliquent le correctif et ceux qui exploitent la faille chez les retardataires.

Les failles publiques et corrigées sont recensées sous un identifiant de la forme « CVE » dans des bases internationales (vous les croiserez sur cve.org ou nvd.nist.gov si vous poursuivez le parcours). Retenez ici l'essentiel : la plupart des attaques réussies utilisent des failles pour lesquelles un correctif existait déjà. Appliquer les mises à jour, c'est fermer des portes dont tout le monde connaît l'emplacement.

Ce qu'il faut mettre à jour

Pensez en cercles concentriques :

• Le système d'exploitation de l'ordinateur et du téléphone : c'est le plus important ;
• Le navigateur et ses extensions : c'est la porte d'entrée vers internet, donc une cible de choix ;
• Les applications les plus exposées : messagerie, lecteurs de documents, outils de visioconférence, applications mobiles ;
• Les équipements réseau : box internet, routeur, répéteur Wi-Fi ;
• Les objets connectés : caméras, enceintes, télévisions, ampoules, aspirateurs, sonnettes. Ils sont souvent oubliés alors qu'ils sont connectés en permanence ;
• Le micrologiciel (firmware) des appareils : imprimante, disque réseau, accessoires.

Comment s'y prendre

Activer les mises à jour automatiques

La meilleure stratégie est de rendre l'action automatique : cherchez dans les paramètres du système et du navigateur l'option « mises à jour automatiques » et activez-la. Faites de même dans les boutiques d'applications (« mettre à jour les applications automatiquement »). Une protection qui dépend de votre mémoire finit toujours par être oubliée.

Redémarrer quand c'est demandé

Certaines mises à jour ne sont réellement actives qu'après un redémarrage. Un ordinateur qui reste allumé des semaines avec un message « redémarrage en attente » n'est pas protégé. Prenez l'habitude de redémarrer au moins une fois par semaine ou dès que le système le demande, au moment qui vous convient (par exemple en fin de journée).

Gérer la fin de support

Tout logiciel et tout appareil a une date de fin de support : après celle-ci, l'éditeur ne publie plus de correctifs de sécurité. Continuer à utiliser un système ou un téléphone en fin de support, c'est conserver des failles que personne ne corrigera. Vérifiez régulièrement :

• la version de votre système, et si elle reste maintenue ;
• l'âge de vos téléphones et tablettes, et leur période de mises à jour ;
• la prise en charge de vos box, routeurs et objets connectés.

Si un appareil n'est plus mis à jour, prévoyez son remplacement, ou déconnectez-le des usages sensibles (banque, messagerie principale).

Et l'antivirus ?

Un antivirus (on dit aussi « anti-malware ») est un logiciel qui analyse les fichiers et le comportement des programmes pour détecter ce qui est connu comme dangereux ou suspect. Il joue deux rôles : empêcher l'exécution de programmes malveillants, et détecter ceux qui se sont déjà installés.

Ce que l'antivirus fait bien

• Bloquer les logiciels malveillants connus, y compris dans les téléchargements et les pièces jointes ;
• Surveiller en continu les comportements anormaux (un programme qui chiffre soudain des centaines de fichiers) ;
• Alerter sur des sites réputés dangereux, selon les produits ;
• Analyser sur demande un fichier ou un disque suspect.

Ce qu'il ne fait pas

• Il ne rend pas invulnérable : un logiciel malveillant très récent, inconnu ou ciblé peut passer entre les mailles ;
• Il ne vous protège pas de vous-même : si vous donnez volontairement votre mot de passe à un faux site, l'antivirus n'y peut rien ;
• Il ne corrige pas les failles de vos autres logiciels : il ne remplace pas les mises à jour ;
• Il ne protège pas contre les arnaques par téléphone ou par message.

Faut-il acheter un antivirus ?

Les systèmes d'exploitation récents, sur ordinateur, intègrent un outil de protection contre les malwares, activé par défaut et mis à jour automatiquement. Pour la plupart des utilisateurs raisonnables, cette protection intégrée, bien activée et à jour, est un socle suffisant. Un produit complémentaire peut avoir un intérêt selon votre profil (famille avec enfants, usage professionnel, besoin de contrôle parental ou de fonctions supplémentaires), mais :

• n'en installez jamais deux en même temps : ils peuvent entrer en conflit et ralentir ou fragiliser la machine ;
• méfiez-vous des fenêtres qui vous alertent d'une « infection » et proposent un nettoyage : c'est une technique classique de faux support ;
• téléchargez uniquement depuis le site officiel de l'éditeur ;
• sur un téléphone, ce sont surtout les mises à jour et la boutique officielle qui comptent : nous y reviendrons à la leçon 4.

Faire un état des lieux rapide

Voici une routine de dix minutes, à faire une fois puis à répéter tous les trimestres :

1. Ouvrez les paramètres de mise à jour de l'ordinateur et du téléphone : sont-ils à jour ? Les mises à jour automatiques sont-elles activées ?
2. Vérifiez que l'outil de protection contre les malwares est actif et à jour.
3. Dans le navigateur, ouvrez la liste des extensions : supprimez celles que vous n'utilisez plus ou ne reconnaissez pas.
4. Désinstallez les applications inutilisées : chaque programme inutilisé est une surface d'attaque en plus.
5. Redémarrez les appareils pour terminer les mises à jour en attente.
6. Notez dans le carnet la date et l'état de chaque appareil, et la prochaine date de vérification.

À vous de jouer

Réalisez l'état des lieux ci-dessus sur un appareil de votre choix. Puis répondez : si vous aviez à choisir entre « un antivirus payant, mais un système jamais mis à jour » et « un système à jour avec la protection intégrée », lequel est le plus sûr, et pourquoi ?

Voir une solution

Le système à jour avec la protection intégrée est nettement plus sûr. Un système jamais mis à jour garde des failles connues que des attaquants exploitent, et l'antivirus ne peut pas toutes les compenser. Les mises à jour ferment les portes, l'antivirus surveille ce qui passe ; les deux sont complémentaires, mais les mises à jour sont prioritaires.

Un appareil à jour peut pourtant être perdu ou volé. Que se passe-t-il alors de vos données ? C'est la question de la leçon suivante : le chiffrement et le verrouillage.