Fecha de publicación original: 20 de agosto de 2026
KB ID: 5125813
Importante
Acción necesaria para desarrolladores de aplicaciones y administradores de TI
Introducción
Microsoft está actualizando la infraestructura de firma de código de Windows para reemplazar los certificados que expiran (CA), reforzar los algoritmos de firma y prepararse para la criptografía poscuántica (PQC). Algunas aplicaciones pueden producir un error cuando cambian los certificados de firma o los algoritmos de Microsoft, incluso cuando Windows considera que el archivo firmado es válido y de confianza. Los desarrolladores y proveedores de software deben revisar todas las operaciones de validación de certificados y firmas para asegurarse de que admiten agilidad criptográfica y están preparados para los cambios planeados y futuros de la CA. Las aplicaciones no deben depender de un nombre de certificado, huella digital, emisor, tamaño de clave o algoritmo hash o de resumen de certificado. En su lugar, delegue estas inspecciones a las API aprobadas para asegurarse de que siguen siendo independientes de las convenciones de nomenclatura y la selección de algoritmos.
¿Qué cambia?
- Reemplazo de CA de producción de Windows: Microsoft Windows Production PCA 2011 expira el 19 de octubre de 2026. Microsoft hará la transición de Windows firmando a una CA de reemplazo con las mismas propiedades de seguridad en las próximas semanas. Las aplicaciones que se anclan a la entidad de certificación anterior pueden producir errores durante esta transición.
- Firma más sólida: para admitir la evolución de los requisitos de seguridad y cumplimiento, Windows avanzará hacia configuraciones más sólidas, incluidas RSA-3072 y SHA-384, a finales de 2026. Las aplicaciones que codifican de forma rígida las configuraciones de firma esperadas pueden producir un error durante esta transición.
- Transición de PQC: la firma de Windows pasará a la firma post-cuántica en 2027. El panorama en evolución de PQC y los requisitos de los clientes colocan la agilidad criptográfica al frente y al centro de esta transición. La firma futura podría usar nuevos algoritmos y construcciones de firmas híbridas y podría requerir cambios rápidos a medida que nos adaptamos al mundo postcuántico.
Riesgo de compatibilidad
Las pruebas de Microsoft han identificado aplicaciones que producen un error después de que cambian los certificados o algoritmos de firma de Windows. Entre las acciones que pueden dar lugar a errores de compatibilidad se incluyen:
- Comparar cadenas de certificados entre dos o más binarios firmados y basar las decisiones de confianza en si coinciden.
- Anclar sujetos de certificados de Microsoft, emisores, huellas digitales, números de serie o CA intermedios.
- Requerir que las firmas usen SHA-256, RSA-2048 u otro algoritmo específico.
- Análisis de firmas Authenticode o cadenas de certificados directamente en lugar de usar las API de confianza de Windows.
- Usar un almacén de confianza privado que no esté actualizado para las rotaciones de certificados de Microsoft.
Estos métodos pueden rechazar un archivo que Windows valida correctamente como de confianza. También limitan la capacidad de Microsoft para rotar certificados, fortalecer la criptografía y realizar la transición a PQC.
Guía para desarrolladores de aplicaciones
- Valide la confianza, no la identidad del certificado. Determine si Windows confía en la firma. No requiera una CA de Microsoft específica, un nombre de certificado o una huella digital, a menos que Microsoft lo documente como un contrato admitido. No impongas que las cadenas de certificados coincidan entre los binarios firmados.
- Usar API de Windows compatibles. Use WinVerifyTrust o las interfaces de cadena y directivas de CryptoAPI/Crypt32 adecuadas. Evite la autenticación personalizada y la validación de cadenas de certificados.
- Manténgase agnóstico en cuanto al algoritmo. No dé por sentado que las firmas de Microsoft de confianza siempre usan un emparejamiento de algoritmos fijo, como RSA-2048 + SHA-256.
- Probar cambios en los certificados. Valide las aplicaciones con jerarquías de certificados de Microsoft de reemplazo y configuraciones de firma más sólidas.
- Revise las tiendas fiduciarias privadas. Si el producto mantiene su propio almacén de confianza, establezca un proceso para reconocer las rotaciones legítimas de certificados de Microsoft.
Guía para administradores de TI
Pregunte a los proveedores de software críticos si sus aplicaciones,
- Usar las API de confianza de Windows admitidas.
- Ancle certificados o entidades de certificación de Microsoft.
- Se han probado con certificados de firma de Microsoft de reemplazo y firmas SHA-384.
- Mantenga un almacén privado de confianza y realice un proceso de actualización de certificados.
- Tenga un plan para futuros cambios en la firma de PQC.
Escala de tiempo
- Ahora: Microsoft Windows Production PCA 2011 expira el 19 de octubre de 2026. El reemplazo por un nuevo PCA está en marcha. La siguiente versión preliminar está firmada con el nuevo PCA (Microsoft Windows Production PCA 2026): compilación preliminar de versión 26100.9539/26200.9539.
- Más adelante en 2026: la firma de producción de Windows pasa a configuraciones más sólidas.
- 2027: la firma de producción de Windows pasa a PQC de forma predeterminada, con consideraciones para plataformas de nivel inferior y sistemas heredados.
- En curso: continuaremos con las rotaciones de certificados y las actualizaciones de algoritmos a medida que evolucionen los requisitos de seguridad y los requisitos de los clientes.
Llamada a la acción
Revise ahora la lógica de validación. Las aplicaciones deben basarse en las decisiones de confianza de Windows, no en suposiciones fijas sobre los certificados de Microsoft o los algoritmos criptográficos. Esto es necesario para seguir siendo compatible durante la transición del certificado de 2026 y los futuros cambios en la firma del PQC.
Registro de cambios
| Cambiar fecha | Cambiar descripción |
|---|---|
| 10 de septiembre de 2026 | Escala de tiempo actualizada con disponibilidad de versión preliminar . |