Izvorni datum objave: 20. kolovoza 2026.
ID baze znanja: 5125813
Važno
Razvojni inženjeri aplikacija i IT administratori moraju poduzeti radnje
Uvod
Microsoft ažurira infrastrukturu za potpisivanje koda sustava Windows da bi zamijenio certifikate koji istječu, ojačao algoritme potpisivanja i pripremio se za postkvantnu kriptografiju (PQC). Neke aplikacije možda neće uspjeti kada se Microsoftovi certifikati ili algoritmi za potpisivanje promijene, čak i kada Windows potpisanu datoteku smatra valjanom i pouzdanom. Razvojni inženjeri i dobavljači softvera trebali bi pregledati sve radnje provjere valjanosti certifikata i potpisa da bi provjerili kako podržavaju kriptografsku agilnost te da bi bili spremni za planirane i buduće promjene ustanova za izdavanje certifikata. Aplikacije ne smiju ovisiti o određenom nazivu certifikata, otisku certifikata, izdavaču, veličini ključa ili algoritmu sažetka/raspršivanja. Umjesto toga, te inspekcije delegirajte na odobrene API-je da biste bili sigurni da ostaju nezavisni od konvencija imenovanja i odabira algoritama.
Što se mijenja
- Zamjena za produkcijsku ustanovu za izdavanje certifikata za Windows: Microsoft Windows Production PCA 2011 istječe 19. listopada 2026. Microsoft će u nadolazećim tjednima prebaciti potpisivanje sustava Windows na zamjensku ustanovu za izdavanje certifikata s istim sigurnosnim svojstvima. Aplikacije koje prikvačuju na staru ustanovu za izdavanje certifikata možda neće uspjeti tijekom ovog prijelaza.
- Snažnije potpisivanje: Kako bi podržao rastuće zahtjeve za sigurnost i usklađenost, Windows prelazi na jače konfiguracije, uključujući RSA-3072 i SHA-384, do kraja 2026. Aplikacije koje hardverski kodiraju očekivane konfiguracije potpisivanja možda neće uspjeti tijekom ovog prijelaza.
- Prijelaz na PQC: Potpisivanje u sustavu Windows u 2027. će se prebaciti na post-kvantno potpisivanje. Rastući krajolik PQC-a i zahtjevi kupaca stavljaju kriptografsku agilnost u prvi plan i središte ove tranzicije. Potpisivanje budućnosti moglo bi koristiti nove algoritme i hibridne konstrukcije potpisa i moglo bi zahtijevati brze promjene dok se prilagođavamo post-kvantnom svijetu.
Rizici kompatibilnosti
Microsoftovim testiranjem identificirane su aplikacije koje ne uspiju nakon promjene certifikata ili algoritama za potpisivanje sustava Windows. Akcije koje mogu dovesti do pogrešaka kompatibilnosti obuhvaćaju sljedeće:
- uspoređivanje nizova certifikata između dvije ili više potpisanih binarnih datoteka i stvaranje odluka o pouzdanosti na temelju njihove podudarnosti
- Prikvačivanje predmeta Microsoftovih certifikata, izdavača, otisaka prstiju, serijskih brojeva ili posrednih CA-ova.
- Zahtijeva da potpisi koriste SHA-256, RSA-2048 ili neki drugi specifični algoritam.
- Izravno raščlanjivanje potpisa ili lanaca certifikata Authenticode umjesto korištenja API-ja za pouzdanost sustava Windows.
- Korištenje privatnog spremišta pouzdanih podataka koje nije ažurirano za rotacije Microsoftovih certifikata.
Te metode mogu odbaciti datoteku koju Windows ispravno provjeri kao pouzdanu. One ograničavaju i Microsoftovu mogućnost rotiranja certifikata, jačanja kriptografije i prelaska na PQC.
Smjernice za razvojne inženjere aplikacija
- Provjerite pouzdanost, a ne identitet certifikata. Utvrdite smatra li Windows potpis pouzdanim. Ne zahtijevaju određenu Microsoftovu ustanovu za izdavanje certifikata, naziv certifikata ili otisak certifikata osim ako ih Microsoft ne dokumentira kao podržani ugovor. Nemojte nametati podudaranje lanaca certifikata u potpisanim binarnim datotekama.
- Koristite podržane API-je za Windows. Koristite WinVerifyTrust ili odgovarajuća sučelja lanca i pravilnika CryptoAPI/Crypt32. Izbjegavajte prilagođenu provjeru valjanosti Authenticodea i lanca certifikata.
- Ostanite nezavisni od algoritma. Nemojte pretpostavljati da pouzdani Microsoftovi potpisi uvijek koriste fiksno uparivanje algoritama kao što je RSA-2048 + SHA-256.
- Testiranje promjena certifikata. Provjerite valjanost aplikacija u odnosu na zamjenske hijerarhije Microsoftovih certifikata i jače konfiguracije potpisivanja.
- Pregledajte privatna pouzdana spremišta. Ako vaš proizvod ima vlastitu pouzdanu pohranu, uspostavite postupak za prepoznavanje legitimnih rotacija Microsoftovih certifikata.
Smjernice za IT administratore
pitajte ključne dobavljače softvera jesu li njihove aplikacije,
- Koristite podržane API-je za pouzdanost sustava Windows.
- Prikvačite Microsoftove certifikate ili ustanove za izdavanje certifikata.
- Testirani su sa zamjenskim Microsoftovim certifikatima za potpisivanje i potpisima SHA-384.
- Održavajte privatno pouzdano spremište i vodite proces ažuriranja certifikata.
- Isplanirajte buduće promjene potpisivanja PQC-a.
Vremenska traka
- Sada: Microsoft Windows Production PCA 2011 istječe 19. listopada 2026. U tijeku je zamjena novim PCA-om. Sljedeći pretpregled izdanja potpisan je novim PCA-om (Microsoft Windows Production PCA 2026): Međuverzija pretpregleda izdanja 26100.9539/26200.9539.
- Kasnije u 2026.: Potpisivanje proizvodnje sustava Windows prelazi na jače konfiguracije.
- 2027: Potpisivanje proizvodnje sustava Windows po zadanom prelazi na PQC, uzimajući u obzir platforme niže razine i naslijeđene sustave.
- U tijeku: nastavit ćemo s rotacijama certifikata i ažuriranjem algoritama u skladu s razvojem sigurnosnih preduvjeta i zahtjeva korisnika.
Poziv na akciju
Sada pregledajte logiku provjere valjanosti. Aplikacije bi se trebale osloniti na odluke pouzdanosti sustava Windows, a ne na fiksne pretpostavke o Microsoftovim certifikatima ili kriptografskim algoritmima. To je potrebno kako bi se održala kompatibilnost do prijelaza certifikata 2026. i budućih promjena potpisivanja PQC-a.
Zapisnik promjena
| Promjena datuma | Opis izmjene |
|---|---|
| Rujna 10, 2026 | Ažurirana vremenska crta s dostupnošću pretpregleda izdanja. |