תאריך פרסום מקורי: 20 באוגוסט 2026
מזהה KB: 5125813
חשוב
נדרשת פעולה עבור מפתחי יישומים ומנהלי IT
מבוא
מיקרוסופט מעדכנת את תשתית חתימת הקוד של Windows כדי להחליף אישורים שפג תוקפם (CAs), לחזק אלגוריתמי חתימה ולהתכונן לקריפטוגרפיה פוסט-קוונטית (PQC). אפליקציות מסוימות עלולות להיכשל כאשר אישורי חתימה או אלגוריתמים של Microsoft משתנים, גם כאשר Windows מחשיב את הקובץ החתום כחוקי ומהימן. מפתחים וספקי תוכנה צריכים לסקור את כל פעולות אימות האישורים והחתימות כדי לוודא שהם תומכים בזריזות קריפטוגרפית ומוכנים לשינויים מתוכננים ועתידיים ב-CA. היישומים אינם יכולים להיות תלויים בשם אישור ספציפי, טביעת אצבע, מנפיק, גודל מפתח או אלגוריתם תקציר/Hash. במקום זאת, האציל את הבדיקות הללו לממשקי API מאושרים כדי להבטיח שהם יישארו אגנוסטיים למוסכמות שמות ולבחירת אלגוריתמים.
מה משתנה
- החלפת Windows Production: התוקף של Microsoft Windows Production PCA 2011 יפוג ב- 19 באוקטובר 2026. Microsoft תעביר את חתימת Windows לרשות אישורים חלופית עם אותם מאפייני אבטחה בשבועות הקרובים. יישומים שמוצמדים לרשות האישורים הישנה עלולים להיכשל במהלך מעבר זה.
- חתימה חזקה יותר: כדי לתמוך בדרישות האבטחה והתאימות המתפתחות, Windows מתקדם לעבר תצורות חזקות יותר, כולל RSA-3072 ו- SHA-384, עד סוף 2026. יישומים שמקודדים באופן קשיח תצורות חתימה צפויות עלולים להיכשל במהלך מעבר זה.
- מעבר PQC: חתימת Windows תעבור לחתימה שלאחר קוונטית ב- 2027. הנוף המתפתח של PQC ודרישות הלקוח מציבים את זריזות ההצפנה בחזית ובמרכז במעבר זה. חתימה עתידית עשויה להשתמש באלגוריתמים חדשים ובמבני חתימה היברידית ועשויה לדרוש שינויים מהירים ככל שאנו מסתגלים לעולם הפוסט-קוונטי.
סיכון תאימות
בדיקות של Microsoft זיהו אפליקציות שנכשלות לאחר שינוי אישורי חתימה או אלגוריתמים של Windows. פעולות שעלולות לגרום לכשלי תאימות כוללות:
- השוואת שרשראות אישורים בין שני קבצים בינאריים חתומים או יותר וביסוס החלטות האמון על ההתאמה ביניהם.
- הצמדת נושאי אישורים, מנפיקים, טביעות אצבע, מספרים סידוריים או רשויות אישורים מתווכות של Microsoft.
- דרישת חתימות לשימוש ב- SHA-256, RSA-2048 או אלגוריתם ספציפי אחר.
- ניתוח חתימות Authenticode או שרשראות אישורים ישירות במקום להשתמש בממשקי API של אמון ב- Windows.
- שימוש במאגר אמון פרטי שאינו מתעדכן עבור סבבי אישורים של Microsoft.
שיטות אלה יכולות לדחות קובץ ש- Windows מאמת כראוי כמהימן. הם גם מגבילים את היכולת של מיקרוסופט לסובב אישורים, לחזק את הקריפטוגרפיה ולעבור ל-PQC.
הדרכה עבור מפתחי אפליקציות
- אמת את האמון, לא את זהות האישור. קבע אם Windows נותן אמון בחתימה. אין לדרוש רשות אישורים, שם אישור או טביעת אצבע ספציפיים של Microsoft, אלא אם Microsoft מתעדת אותם כחוזה נתמך. אין לאכוף התאמת שרשראות אישורים בין קבצים בינאריים חתומים.
- השתמש בממשקי API נתמכים של Windows. השתמש ב- WinVerifyTrust או בממשקי השרשרת והמדיניות המתאימים של CryptoAPI/Crypt32. הימנע מ- Authenticode מותאם אישית ואימות שרשרת אישורים.
- הישארו אגנוסטיים לאלגוריתמים. אל תניח שחתימות Microsoft מהימנות משתמשות תמיד בשיוך אלגוריתם קבוע, כגון RSA-2048 + SHA-256.
- שינויים באישור הבדיקה. אמת יישומים כנגד הירארכיות אישורים חלופיות של Microsoft ותצורות חתימה חזקות יותר.
- סקור חנויות נאמנות פרטיות. אם למוצר שלך יש מאגר אמון משלו, צור תהליך שיזהה סיבובים לגיטימיים של אישורים של Microsoft.
הדרכה עבור מנהלי IT
שאל ספקי תוכנה קריטיים אם היישומים שלהם,
- השתמש בממשקי API נתמכים של אמון Windows.
- הצמד אישורים או רשויות אישורים של Microsoft.
- נבדקו עם אישורי חתימה חלופיים של Microsoft וחתימות SHA-384.
- שמור על מאגר אמון פרטי ובצע תהליך עדכון אישורים.
- יש לך תוכנית לשינויים עתידיים בחתימת PQC.
ציר זמן
- כעת: התוקף של Microsoft Windows Production PCA 2011 יפוג ב- 19 באוקטובר 2026. החלפה ב- PCA חדש נמצאת בעיצומה. מהדורת Preview הבאה חתומה עם ה- PCA החדש (Microsoft Windows Production PCA 2026): גירסת Build של Release Preview מס' 26100.9539/26200.9539.
- בהמשך 2026: חתימת ייצור Windows עוברת לתצורות חזקות יותר.
- 2027: חתימת הייצור של Windows עוברת ל- PQC כברירת מחדל, עם שיקולים עבור פלטפורמות ברמה נמוכה ומערכות מדור קודם.
- מתמשך: נמשיך בסיבובי אישורים ועדכוני אלגוריתמים ככל שדרישות האבטחה ודרישות הלקוח מתפתחות.
קריאה לפעולה
סקור את לוגיקת האימות שלך כעת. אפליקציות צריכות להסתמך על החלטות אמון של Windows - ולא על הנחות קבועות לגבי אישורים או אלגוריתמים מוצפנים של Microsoft. הדבר הכרחי כדי להישאר תואם גם במהלך מעבר האישור של 2026 ושינויים עתידיים בחתימת PQC.
יומן רישום שינויים
| שנה תאריך | תיאור השינוי |
|---|---|
| 10 בספטמבר 2026 | ציר זמן מעודכן עם זמינות של תצוגה מקדימה של מהדורה. |