Bonjour
J’ai enfin sauté le pas de la V3 vers la V4 et grâce à Node-red j’ai recréé tous mes scénarios.
Ma question porte sur la mise à jour de Gladys sur mon raspberry avec l’image Gladys raspberry.
Donc lorsqu’une nouvelle mise à jour est envoyé, celle-ci est automatiquement téléchargée puis installé par Gladys mais est ce que celle-ci inclus les paquets corrigés par Debian puis repris par Raspi OS afin de corriger les failles de sécurités.
Dans le doute je fais toujours des
sudo apt update
et sudo apt upgrade
J’ai également changé le mot de passe ssh afin d’éviter de me retrouver avec un raspberry pi zombi.
Comme je n’ai pas trouvé de réponse dans la doc, c’est pour cela que je pose la question.
Merci
a chaque nouvelle version, Gladys et ses dépendences sont mises a jour
Gladys tourne dans Docker, donc cela ne s’applique qu’au conteneur et pas a l’OS du raspberry pi, qui n’est pas mis a jour automatiquement
Cependant si tu n’as rien bidouillé dans ta box opérateur, ton raspberry pi n’est pas exposé sur internet. Donc personne n’est sensé pouvoir s’y connecter en ssh hors de ton réseau local.
Après ça reste une bonne idée d’avoir changé le mot de passe par défaur
En résumé, gladys est mise a jour mais pas le système du raspberry pi et cela représente un risque qui reste faible car pas exposé directement sur internet.
L’image Raspberry Pi OS fournie applique le maximum de bonnes pratiques de sécurité
Déjà effectivement comme dit @lmilcent dans le container Docker Gladys, à chaque déploiement d’une nouvelle version on re-deploie Gladys avec un container tout frais, basé sur un système entièrement à jour, et on met toutes les dépendances à jour lors de rapport de failles de sécurités.
En revanche ce n’est pas entièrement vrai !
On utilise le package « unattented-upgrade » au niveau de l’image système, package qui passe toutes nuit pour mettre à jour automatiquement les packages systèmes qui ont des failles de sécurité et qui peuvent être patché à chaud sans reboot, et uniquement ceux-ci pour ne pas breaker le système.
La seule chose que ce package ne fait pas, c’est en cas de faille critique au niveau du kernel, il est impossible de faire le patch à chaud et il faut donc passer par un reboot. Côté Gladys on ne peut pas décider quand faire le reboot car la domotique est un programme critique. Si tu utilise Gladys comme alarme et que Gladys se met à reboot au moment ou tu te fais cambrioler la nuit, ça le fait pas!
Néanmoins, les failles au niveau kernel linux sont plus rare, en général on en entend parler et on peut communiquer avec la communauté et dire qu’il faut reboot son système.
Super intéressant. Je suis pour la création d’une partie dédiée dans la documentation pour rassurer tout le monde.
Et d’ailleurs quand je vois ce genre de sujets dans les documentations ça me rassure :
Qui contacter en cas de faille ?
Comment sont gérées les mises à jour de sécurité ?
Quelles sont les pratiques de développement niveau sécu ?
Peut-être mettre un paramètre supplémentaire dans « Opérations » qui proposerai par défaut de faire automatiquement un reboot 24h ou plus après une maj du kernel, comme cela l’utilisateur serait informé par la team qu’une mise à jour est nécessaire et peut à sa guise faire le reboot lui-même dans un délai imparti ou laisser Gladys gérer le reboot !
