Date de publication d’origine : 20 août 2026
ID de la Base de connaissances : 5125813
Important
Action requise pour les développeurs d’applications et les administrateurs informatiques
Introduction
Microsoft met à jour l’infrastructure de signature de code Windows pour remplacer les certificats arrivant à expiration, renforcer les algorithmes de signature et préparer le chiffrement post-quantique (PQC). Certaines applications peuvent échouer lorsque les certificats de signature ou les algorithmes de Microsoft changent, même lorsque Windows considère le fichier signé comme valide et approuvé. Les développeurs et les éditeurs de logiciels doivent examiner toutes les opérations de validation des certificats et des signatures pour s’assurer qu’elles prennent en charge l’agilité cryptographique et qu’elles sont prêtes pour les modifications prévues et futures de l’autorité de certification. Les applications ne doivent pas dépendre d’un nom de certificat, d’une empreinte, d’un émetteur, d’une taille de clé ou d’un algorithme de recueil/hachage spécifiques. Déléguez plutôt ces inspections à des API approuvées pour vous assurer qu’elles restent agnostiques aux conventions d’affectation de noms et au choix des algorithmes.
Ce qui change
- Remplacement de l’autorité de certification de production Windows : Microsoft Windows Production PCA 2011 expire le 19 octobre 2026. Microsoft effectuera la transition de la signature de Windows vers une autorité de certification de remplacement dotée des mêmes propriétés de sécurité au cours des prochaines semaines. Les applications qui épinglent à l’ancienne autorité de certification peuvent échouer pendant cette transition.
- Signature plus forte : pour prendre en charge l’évolution des exigences de sécurité et de conformité, Windows s’oriente vers des configurations plus solides, notamment RSA-3072 et SHA-384, d’ici la fin de 2026. Les applications dont les configurations de signature attendues peuvent échouer pendant cette transition.
- Transition PQC : la signature Windows passera à la signature post-quantique en 2027. L’évolution du paysage du PQC et les exigences des clients placent l’agilité cryptographique au centre de cette transition. La signature future pourrait utiliser de nouveaux algorithmes et des constructions de signatures hybrides et nécessiter des changements rapides à mesure que nous nous adaptons au monde post-quantique.
Risque de compatibilité
Les tests Microsoft ont identifié des applications qui échouent après la modification des certificats de signature ou des algorithmes de Windows. Les actions pouvant entraîner des échecs de compatibilité sont les suivantes :
- Comparaison des chaînes de certificats entre deux binaires signés ou plus et base les décisions d’approbation sur leur correspondance.
- Épinglage de sujets de certificats Microsoft, d’émetteurs, d’empreintes, de numéros de série ou d’autorités de certification intermédiaires.
- Exiger des signatures pour utiliser SHA-256, RSA-2048 ou un autre algorithme spécifique.
- Analyser directement les signatures Authenticode ou les chaînes de certificats au lieu d’utiliser les API de confiance Windows.
- En utilisant un magasin d’approbation privé qui n’est pas mis à jour pour la rotation des certificats Microsoft.
Ces méthodes peuvent rejeter un fichier que Windows valide correctement comme approuvé. Elles limitent également la capacité de Microsoft à faire tourner les certificats, à renforcer le chiffrement et à passer au PQC.
Conseils pour les développeurs d’applications
- Validez l’approbation, et non l’identité du certificat. Déterminez si Windows fait confiance à la signature. N’avez pas besoin d’une autorité de certification Microsoft, d’un nom de certificat ou d’une empreinte digitale spécifique, sauf si Microsoft le documente en tant que contrat pris en charge. Ne pas appliquer la correspondance des chaînes de certificats entre les binaires signés.
- Utiliser les API Windows prises en charge. Utilisez WinVerifyTrust ou les interfaces de chaîne et de stratégie CryptoAPI/Crypt32 appropriées. Évitez l’authentification personnalisée et la validation de la chaîne de certificats.
- Rester indépendant de l’algorithme. Ne présumez pas que les signatures Microsoft approuvées utilisent toujours un appariement d’algorithme fixe tel que RSA-2048 + SHA-256.
- Testez les modifications de certificat. Validez les applications par rapport à des hiérarchies de certificats Microsoft de remplacement et à des configurations de signature plus fortes.
- Passez en revue les magasins de confiance privés. Si votre produit gère son propre magasin d’approbation, établissez un processus pour reconnaître les rotations de certificats Microsoft légitimes.
Conseils pour les administrateurs informatiques
Demandez aux fournisseurs de logiciels critiques si leurs applications,
- Utiliser les API de confiance Windows prises en charge.
- Épingler des certificats ou des autorités de certification Microsoft.
- Ont été testés avec des certificats de signature Microsoft et des signatures SHA-384 de remplacement.
- Conservez un magasin d’approbation privé et disposez d’un processus de mise à jour des certificats.
- Avoir un plan pour les futurs changements de signature PQC.
Chronologie
- Maintenant : Le PCA 2011 de production Microsoft Windows expire le 19 octobre 2026. Le remplacement par un nouvel APC est en cours. La version préliminaire suivante est signée avec le nouveau PCA (Microsoft Windows Production PCA 2026) : build Release Preview 26100.9539/26200.9539.
- Plus tard en 2026 : la signature de production Windows passe à des configurations plus fortes.
- 2027 : La signature de production Windows passe au PQC par défaut, avec des considérations pour les plateformes de bas niveau et les systèmes hérités.
- En cours : nous continuerons les rotations de certificats et les mises à jour d’algorithmes à mesure que les exigences de sécurité et les exigences des clients évoluent.
Appel à l’action
Examinez maintenant votre logique de validation. Les applications doivent s’appuyer sur les décisions d’approbation Windows, et non sur des hypothèses fixes concernant les certificats Microsoft ou les algorithmes de chiffrement. Cela est nécessaire pour rester compatible avec la transition du certificat de 2026 et les futures modifications de signature PQC.
Journal des modifications
| Modifier la date | Modifier la description |
|---|---|
| 10 septembre 2026 | Mise à jour de la chronologie avec disponibilité de l’aperçu de la publication . |