初版発行日: 2026 年 8 月 20 日
KB ID: 5125813
重要
アプリケーション開発者と IT 管理者に必要なアクション
概要
マイクロソフトは、有効期限が切れる証明書 (CA) を置き換え、署名アルゴリズムを強化し、ポスト量子暗号 (PQC) に備えるために、Windows コード署名インフラストラクチャを更新しています。 署名されたファイルが有効で信頼できると Windows が判断した場合でも、Microsoft の署名証明書またはアルゴリズムが変更されると、一部のアプリケーションは失敗する可能性があります。 開発者およびソフトウェア ベンダーは、すべての証明書および署名の検証操作を見直して、それらが暗号化の俊敏性をサポートしていることを確認し、計画および将来の CA 変更に備える必要があります。 アプリケーションは、特定の証明書名、拇印、発行者、キー サイズ、またはダイジェスト/ハッシュ アルゴリズムに依存してはなりません。 代わりに、これらの検査を承認済みの API に委任して、命名規則やアルゴリズムの選択に依存しないようにします。
変更内容
- Windows Production CA の置き換え: Microsoft Windows Production PCA 2011 は、2026 年 10 月 19 日に期限切れになります。 Microsoft は、今後数週間以内に、Windows 署名を同じセキュリティ プロパティを持つ代替 CA に移行します。 古い CA にピン留めするアプリケーションは、この移行中に失敗する可能性があります。
- 強力な署名: 進化するセキュリティとコンプライアンスの要件をサポートするために、Windows は 2026 年末までに RSA-3072 や SHA-384 などのより強力な構成に向けて移行しています。 予想される署名構成をハードコーディングしたアプリケーションは、この移行中に失敗する可能性があります。
- PQC の移行: Windows 署名は 2027 年にポスト量子署名に移行します。 PQCとお客様の要件の進化する状況により、この移行において暗号化の俊敏性が前面に押し出されています。 将来の署名では、新しいアルゴリズムとハイブリッド署名構造が使用される可能性があり、ポスト量子の世界に適応するにつれて迅速な変更が必要になる可能性があります。
互換性リスク
Microsoft のテストでは、Windows 署名証明書またはアルゴリズムの変更後に失敗するアプリケーションが特定されています。 互換性の失敗につながる可能性のあるアクションは次のとおりです。
- Microsoft 証明書のサブジェクト、発行者、拇印、シリアル番号、または中間 CA をピン留めします。
- 署名に SHA-256、RSA-2048、または他の特定のアルゴリズムを使用するように要求する。
- Windows 信頼 API を使用せずに Authenticode 署名または証明書チェーンを直接解析する。
- Microsoft 証明書のローテーション用に更新されていないプライベート信頼ストアを使用しています。
これらのメソッドは、Windows が信頼済みとして正しく検証したファイルを拒否できます。 また、証明書のローテーション、暗号化の強化、PQC への移行を行う Microsoft の機能も制限されます。
アプリケーション開発者向けのガイダンス
- 証明書の ID ではなく信頼を検証します。 Windows が署名を信頼するかどうかを確認します。 Microsoft がサポートされている契約として文書化しない限り、特定の Microsoft CA、証明書名、または拇印は必要ありません。
- サポートされている Windows API を使用します。 WinVerifyTrust または適切な CryptoAPI/Crypt32 チェーンとポリシー インターフェイスを使用します。 カスタム Authenticode と証明書チェーン検証を避けます。
- アルゴリズムに依存しないままにします。 信頼できる Microsoft 署名が常に RSA-2048 + SHA-256 などの固定アルゴリズムのペアリングを使用すると想定しないでください。
- 証明書の変更をテストします。 置き換えられた Microsoft 証明書階層およびより強力な署名構成に対してアプリケーションを検証します。
- プライベート トラスト ストアを確認します。 製品が独自のトラスト ストアを維持している場合は、正当な Microsoft 証明書のローテーションを認識するプロセスを確立します。
IT 管理者向けのガイダンス
重要なソフトウェア ベンダーに、アプリケーション、
- サポートされている Windows 信頼 API を使用します。
- Microsoft 証明書または証明機関をピン留めします。
- 代替の Microsoft 署名証明書と SHA-384 署名でテスト済みです。
- プライベート信頼ストアを維持し、証明書更新プロセスを用意します。
- 今後の PQC 署名の変更に対する計画を立ててください。
タイムライン
- 現在: Microsoft Windows Production PCA 2011 の有効期限は 2026 年 10 月 19 日に終了します。 新しい PCA への交換が進行中です。
- 2026 年後半: Windows 製品版の署名は、より強力な構成に移行します。
- 2027 年: Windows 実稼働署名は、下位レベルのプラットフォームとレガシ システムを考慮して、既定で PQC に移行します。
- 進行中: セキュリティ要件とお客様の要件の変化に応じて、証明書のローテーションとアルゴリズムの更新を継続します。
実施要請
今すぐ検証ロジックを確認します。 アプリケーションは、Microsoft の証明書や暗号アルゴリズムに関する固定の前提条件ではなく、Windows の信頼の決定に依存する必要があります。 これは、2026 年の証明書移行と今後の PQC 署名の変更を通じて互換性を維持するために必要です。