概要
Windows オペレーティング システムのセキュリティを保護するために、更新プログラムは以前に署名されていました (SHA-1 と SHA-2 ハッシュ アルゴリズムの両方を使用)。 署名は、更新プログラムがマイクロソフトから直接提供され、配信中に改ざんされていないことを認証するために使用されます。 SHA-1 アルゴリズムの弱点と業界標準への整合性のため、マイクロソフトは、より安全な SHA-2 アルゴリズムを使用した Windows の更新プログラムにのみ署名します。 この変更は、スムーズな移行を可能にするために、2019 年 4 月から 2019 年 9 月までのフェーズで行われました (変更の詳細については、「製品の更新スケジュール」セクションを参照してください)。
従来の OS バージョン (Windows 7 SP1、Windows Server 2008 R2 SP1、および Windows Server 2008 SP2) を実行しているお客様は、2019 年 7 月までに SHA-2 コード署名サポートをデバイスにインストールする必要があります。 SHA-2 がサポートされていないデバイスには、2019 年 7 月以降の Windows の更新プログラムが提供されません。 この変更に備えて、2019 年に SHA-2 署名のサポートをリリースする予定です。 Windows Server Update Services (WSUS) 3.0 SP2 は、SHA-2 署名付き更新プログラムを正しく配信するために SHA-2 サポートを受けます。 SHA-2 のみの移行タイムラインについては、「製品の更新スケジュール」セクションを参照してください。
背景の詳細
セキュア ハッシュ アルゴリズム 1 (SHA-1) は、不可逆的なハッシュ関数として開発され、コード署名の一部として広く使用されています。 残念ながら、SHA-1 ハッシュ アルゴリズムのセキュリティは、アルゴリズムに見られる弱点、プロセッサーのパフォーマンスの向上、およびクラウド コンピューティングの出現により、時間の経過とともに安全性が低下しています。 セキュア ハッシュ アルゴリズム 2 (SHA-2) などのより強力な代替手段は、同じ問題に悩まされないため、現在強く推奨されています。 SHA-1 の廃止に関する詳細については、ハッシュと署名のアルゴリズムを参照してください。
製品の更新プログラムのスケジュール
2019 年初頭から、SHA-2 サポートへの移行プロセスは段階的に行われ、サポートはスタンドアロンの更新プログラムで提供されます。 マイクロソフトは、SHA-2 サポートを提供するために、次のスケジュールを目標としています。 下記のタイムラインは変更されることがあることに注意してください。 更新情報については、必要に応じ、本記事を更新してお知らせします。
| 目標日 | イベント | 適用対象 |
|---|---|---|
| 2019 年 3 月 12 日 | スタンドアロン セキュリティ更新プログラム KB4474419 と KB4490628 がリリースされ、SHA-2 コード署名のサポートが導入されました。 | Windows 7 SP1 Windows Server 2008 R2 SP1 |
| 2019 年 3 月 12 日 | スタンドアロン更新プログラム、KB4484071は、SHA-2 署名された更新プログラムの配信をサポートする WSUS 3.0 SP2 用のWindows Update カタログで使用できます。 WSUS 3.0 SP2 を使用しているお客様は、この更新プログラムを 2019 年 6 月 18 日までに手動でインストールする必要があります。 | WSUS 3.0 SP2 |
| 2019 年 4 月 9 日 | SSU (サービス スタック) 用の SHA-2 コード署名サポートを導入したスタンドアロン更新プログラム、KB4493730 がセキュリティ更新プログラムとしてリリースされました。 | Windows Server 2008 SP2 |
| 2019 年 5 月 14 日 | SHA-2 コード署名サポートを導入するためのスタンドアロンセキュリティ更新プログラム KB4474419 がリリースされました。 | Windows Server 2008 SP2 |
| 2019 年 6 月 11 日 | スタンドアロン セキュリティ更新プログラム KB4474419 再リリースされ、MSI SHA-2 コード 署名のサポートが不足しています。 | Windows Server 2008 SP2 |
| 2019 年 6 月 18 日 | Windows 10 の更新プログラムの署名は、デュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 この他に必要な作業はありません。 | Windows 10、バージョン 1709 Windows 10、バージョン 1803 Windows 10、バージョン 1809 Windows Server 2019 |
| 2019 年 6 月 18 日 | 必須： WSUS 3.0 SP2 を使用しているユーザーの場合、SHA-2 更新プログラムをサポートするには、この日付までに KB4484071 を手動でインストールする必要があります。 | WSUS 3.0 SP2 |
| 2019 年 7 月 9 日 |
必須: 従来の Windows バージョンのUpdatesでは、SHA-2 コード署名サポートをインストールする必要があります。 これらのバージョンの Windows で引き続き更新プログラムを入手するには、4 月と 5 月にリリースされたサポート (KB4493730 および KB4474419) が必要になります。 従来の Windows の更新プログラムの署名は、現時点でデュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 |
Windows Server 2008 SP2 |
| 2019 年 7 月 16 日 | Windows 10 の更新プログラムの署名は、デュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 この他に必要な作業はありません。 | Windows 10 Version 1507 Windows 10 バージョン 1607 Windows Server 2016 Windows 10 バージョン 1703 |
| 2019 年 8 月 13 日 |
必須: 従来の Windows バージョンのUpdatesでは、SHA-2 コード署名サポートをインストールする必要があります。 これらのバージョンの Windows で引き続き更新プログラムを入手するには、3 月にリリースされたサポート (KB4474419 および KB4490628) が必要になります。 EFI ブートを使用しているデバイスまたは VM をお持ちの場合は、デバイスが起動しない問題を防ぐための追加手順については、「よく寄せられる質問」セクションを参照してください。 従来の Windows の更新プログラムの署名は、現時点でデュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 |
Windows 7 SP1 Windows Server 2008 R2 SP1 |
| 2019 年 9 月 10 日 | 従来の Windows 更新プログラムの署名は、デュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 この他に必要な作業はありません。 | Windows Server 2012 Windows 8.1 Windows Server 2012 R2 |
| 2019 年 9 月 10 日 | スタンドアロン セキュリティ更新プログラム KB4474419が再リリースされ、不足している EFI ブート マガーが追加されました。 このバージョンがインストールされていることを確認してください。 | Windows 7 SP1 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2020 年 1 月 28 日 | Microsoft 信頼されたルート プログラムの証明書信頼リスト (CTLs) の署名が 、デュアル署名 (SHA-1/SHA-2) から SHA-2 のみに変更されました。 この他に必要な作業はありません。 | サポートされているすべての Windows プラットフォーム |
| 2020 年 8 月 | Windows Update SHA-1 ベースのサービス エンドポイントは廃止されました。 これは、適切なセキュリティ更新プログラムで更新されていない古い Windows デバイスにのみ影響します。 詳細については、KB4569557 を参照してください。 | Windows 7 Windows 7 SP1 Windows Server 2008 Windows Server 2008 SP2 Windows Server 2008 R2 Windows Server 2008 R2 SP1 |
| 2020 年 8 月 3 日 | Microsoft ダウンロード センターから、セキュリティで保護されたハッシュ アルゴリズム 1 (SHA-1) 用に Windows 署名されたコンテンツが廃止されました。 詳細については、 2020 年 8 月 3 日に廃止される Windows IT プロフェッショナル ブログ SHA-1 Windows コンテンツを参照してください。 | Windows Server 2000 Windows XP Windows Server 2003 Windows Vista Windows Server 2008 Windows 7 Windows Server 2008 R2 Windows 8 Windows Server 2012 Windows 8.1 Windows Server 2012 R2 Windows 10 の場合 Windows 10 サーバー |
現在の状態
Windows 7 SP1 および Windows Server 2008 R2 SP1
2019 年 8 月 13 日以降にリリースされたロールアップをインストールする前に、次の更新プログラムをインストールし、デバイスを再起動する必要があります。 必要な更新プログラムは、新しいバージョンが必要な場合を除き、任意の順序でインストールでき、再インストールする必要はありません。
- サービス スタック更新プログラム (SSU)(KB4490628). Windows Update を使用している場合は、最新の SSU が自動的に提供されます。
- 2019 年 9 月 11 日にリリースされた SHA-2 更新プログラム (KB4474419)。 Windows Update を使用している場合は、最新の SHA-2 更新プログラムが自動的に提供されます。
大事な 必要なすべての更新プログラムをインストールした後、月次ロールアップ、セキュリティのみの更新プログラム、月次ロールアップのプレビュー、またはスタンドアロン更新プログラムをインストールする前に、デバイスを再起動する必要があります。
Windows Server 2008 SP2
2019 年 7 月 9 日以降にリリースされたロールアップをインストールする前に、次の更新プログラムをインストールし、デバイスを再起動する必要があります。 必要な更新プログラムは、新しいバージョンが必要な場合を除き、任意の順序でインストールでき、再インストールする必要はありません。
- サービス スタック更新プログラム (SSU)(KB4493730) Windows Update を使用している場合は、最新の SSU が自動的に提供されます。
- 2019 年 9 月 11 日にリリースされた最新の SHA-2 の更新プログラム (KB4474419)。 Windows Update を使用している場合は、最新の SHA-2 更新プログラムが自動的に提供されます。
大事な 必要なすべての更新プログラムをインストールした後、月次ロールアップ、セキュリティのみの更新プログラム、月次ロールアップのプレビュー、またはスタンドアロン更新プログラムをインストールする前に、デバイスを再起動する必要があります。
よく寄せられる質問
一般情報、計画、問題防止
1. KB3033929とKB4039648の更新プログラムは、3 月と 4 月に出荷されるスタンドアロン更新プログラムとどのように異なりますか?
SHA-2 のコード署名サポートは、マイクロソフトがこれらのシステムに対する更新プログラムのための SHA-2 署名に変更するよりもずっと前にお客様がサポートを受けることができるように、早めに出荷されました。 スタンドアロンの更新プログラムにはいくつかの追加の修正が含まれており、すべての SHA-2 更新プログラムが少数の簡単に識別できる更新プログラムに含まれるようにするために提供されています。 マイクロソフトでは、これらの更新プログラムをイメージに適用するために、これらの OS 用のシステムイメージを管理しているお客様にお勧めします。
2. 他のバージョンの WSUS では SHA-2 がサポートされますか?
Windows Server 2012 の WSUS 4.0 以降、WSUS は既に SHA-2 署名付き更新プログラムをサポートしており、これらのバージョンに対するお客様の処置は不要です。
SHA2 のみの署名済み更新プログラムをサポートするために 、 WSUS 3.0 SP2 のみがインストールKB4484071必要です。
3.私はWindows Server 2008 R2(またはWindows 7)でデュアルブートするWindows Server 2008 SP2システムを持っています。SHA-2 サポートに更新する方法
Windows Server 2008 SP2 を実行するとします。 Windows Server 2008 R2 SP1/Windows 7 SP1 でデュアルブートする場合、このタイプのシステムのブート マネージャは Windows Server 2008 R2/Windows 7 システムから提供されます。 これらのシステムの両方を正常に更新して SHA-2 サポートを使用するには、最初に Windows Server 2008 R2/Windows 7 システムを更新して、SHA-2 をサポートするバージョンにブートマネージャを更新する必要があります。 次に、SHA-2 をサポートする Windows Server 2008 SP2 システムを更新します。
4.2つのパーティションを持つシステムがあり、2008 SP2 Windows Server、2つ目はWindows 7 PE(WinPE)ブート環境を備えています。操作方法 SHA-2 のサポートに更新しますか?
デュアル ブート シナリオと同様に、Windows 7 PE 環境を SHA-2 サポートに更新する必要があります。 次に、Windows Server 2008 SP2 システムを SHA-2 サポートに更新する必要があります。
5. セットアップを使用して、Windows 7 SP1 または Windows Server 2008 R2 SP1 のクリーンインストールを実行しています。私は更新プログラムでカスタマイズされたイメージを使用しています(たとえば、dism.exe を使用しています)。操作方法 SHA-2 のサポートに更新しますか?
- 2019 年 8 月 13 日以降の更新プログラムをインストールする前に、Windows セットアップを完了して Windows を起動します
- 管理者コマンド プロンプト ウィンドウを開き、 bcdboot.exeを実行します。 これにより、Windows ディレクトリからブート ファイルがコピーされ、ブート環境がセットアップされます。 詳細については、「BCDBoot コマンドライン オプション」を参照してください。
- 追加の更新プログラムをインストールする前に、2019 年 8 月 13 日に Windows 7 SP1 および Windows Server 2008 R2 SP1 のKB4474419とKB4490628の再リリースをインストールします。
- オペレーティング システムを再起動します。 この再起動が必要です
- 残りの更新プログラムをインストールします。
6. セットアップを実行せずに、Windows 7 SP1 または Windows Server 2008 R2 SP1 のイメージをディスクに直接インストールしています。このシナリオ操作方法機能しますか?
- ディスクにイメージをインストールし、Windows を起動します。
- コマンド プロンプトで、bcdboot.exe を実行します。 これにより、Windows ディレクトリからブート ファイルがコピーされ、ブート環境がセットアップされます。 詳細については、「BCDBoot コマンドライン オプション」を参照してください。
- 追加の更新プログラムをインストールする前に、2019 年 9 月 23 日に Windows 7 SP1 および Windows Server 2008 R2 SP1 のKB4474419とKB4490628の再リリースをインストールします。
- オペレーティング システムを再起動します。 この再起動が必要です
- 残りの更新プログラムをインストールします。
7. Windows 7 SP1 および Windows Server 2008 R2 SP1 では、この SHA-2 更新プログラムで EFI ブートを使用している x64 デバイスまたは VM がサポートされていますか?
はい。続行する前に、必要な更新プログラム (SSU (KB4490628) と SHA-2 更新プログラム (KB4474419) をインストールする必要があります。 また、必要な更新プログラムをインストールした後、さらに更新プログラムをインストールする前にデバイスを再起動する必要があります。
8. Windows 10、バージョン 1903 は上記の表に示されていません。SHA-2 更新プログラムはサポートされていますか?アクションは必要ですか?
Windows 10 バージョン 1903 は SHA-2 をサポートしています。これはリリース版であり、すべての更新プログラムが既に SHA-2 のみに署名されているためです。 このバージョンの Windows に対して必要な操作はありません。
9. /online を使用してオンライン (実行中) システムに更新プログラム dism.exe インストールしています。このシナリオ操作方法機能しますか?
Windows 7 SP1 および Windows Server 2008 R2 SP1
- 2019 年 8 月 13 日以降の更新プログラムをインストールする前に、Windows を起動します。
- 追加の更新プログラムをインストールする前に、2019 年 9 月 23 日に Windows 7 SP1 および Windows Server 2008 R2 SP1 のKB4474419とKB4490628の再リリースをインストールします。
- オペレーティング システムを再起動します。 この再起動が必要です
- 残りの更新プログラムをインストールします。
Windows Server 2008 SP2
- 2019 年 7 月 9 日以降の更新プログラムをインストールする前に、Windows を起動します。
- 追加の更新プログラムをインストールする前に、2019 年 9 月 23 日に、Windows Server 2008 SP2 のKB4474419とKB4493730の再リリースをインストールします。
- オペレーティング システムを再起動します。 この再起動が必要です
- 残りの更新プログラムをインストールします。
問題の回復
1. x86 または x64 デバイスまたは仮想マシン (VM) が起動せず、2019 年 8 月 13 日以降にリリースされた更新プログラムをインストールした後、再起動時に回復環境に0xc0000428 (STATUS_INVALID_IMAGE_HASH) エラーが発生します。SHA-2 のサポートを含むようにKB4474419とKB4490628をインストールしました。インストール操作方法回復しますか?
エラー 0xc0000428 のメッセージが表示された場合 (「このファイルのデジタル署名を確認できませんでした。 最近のハードウェアまたはソフトウェアの変更によって、誤って署名されたファイルや破損したファイル、または不明なソースからの悪意のあるソフトウェアがインストールされている可能性があります。 回復するには、次の手順に従ってください。
- 回復メディアを使用してオペレーティング システムを起動します。
- 追加の更新プログラムをインストールする前に、Windows 7 SP1 および Windows Server 2008 R2 SP1 用の展開イメージサービスおよび管理 (DISM) を使用して、2019 年 9 月 23 日以降にリリースされた更新プログラム KB4474419をインストールします。
- コマンド プロンプトで、bcdboot.exe を実行します。 これにより、Windows ディレクトリからブート ファイルがコピーされ、ブート環境がセットアップされます。 詳細については、「BCDBoot コマンドライン オプション」を参照してください。
- オペレーティング システムを再起動します。
2. 環境内のすべてのデバイスまたは仮想マシン (VM) にロールアップ更新プログラムを展開し、再起動すると、エラー 0xc0000428 (STATUS\_INVALID\_IMAGE\_HASH) が表示されるか、デバイスが復旧環境に入ります。まだ再起動されていない残りのデバイスまたは VM で何を行う必要がありますか?
- 他のデバイスへの展開を停止し、まだ再起動していないデバイスまたは VM を再起動しないでください。
- 2019 年 8 月 13 日以降にリリースされた更新プログラムで再起動保留状態のデバイスと VM を特定し、昇格したコマンド プロンプトを開きます
- 更新プログラムの KB 番号を使用して、削除する更新プログラムのパッケージ ID を検索します (2019 年 8 月 13 日にリリースされた月次ロールアップでない場合は、その更新プログラムの KB 番号を使用して4512506をターゲットとする KB 番号 に置き 換えます)。 dism /online /get-packages | findstr 4512506
- 更新を削除するには、次のコマンドを使用します。<package ID を>前のコマンドで見つかったものに置き換えます: Dism.exe /online /remove-package /packagename:<package ID>
- インストールしようとしている更新プログラムの「この更新プログラムの入手方法」セクションに記載されている必要な更新プログラム、またはこの記事の「現在の状態」セクションに記載されている必要な更新プログラムをインストールする必要があります。
メモ 現在エラー 0xc0000428を受け取っているデバイスまたは VM、または復旧環境から始まるデバイスまたは VM は、エラー 0xc0000428に関する FAQ の質問の手順に従う必要があります。
3. Windows 7 SP1、Windows Server 2008 R2 SP1、または Windows Server 2008 SP2 に更新プログラムをインストールしようとしたときに、エラー コード 80096010またはエラー コード 80092004 (CRYPT_E_NOT_FOUND)、"Windows Update不明なエラーが発生しました" を受け取った場合、どうすればよいですか。
このエラーが発生した場合は、インストールしようとしている更新プログラムの「この更新プログラムの入手方法」セクションに記載されている必要な更新プログラム、またはこの記事の「現在の状態」セクションに記載されている必要な更新プログラムをインストールする必要があります。
4. Intel Itanium IA64 デバイスが起動せず、エラー 0xc0000428 (STATUS\_INVALID\_IMAGE\_HASH) が表示されますが、KB4474419とKB4490628をインストールしました。インストール操作方法回復しますか?
エラー 0xc0000428 のメッセージが表示された場合 (「このファイルのデジタル署名を確認できませんでした。 最近のハードウェアまたはソフトウェアの変更によって、誤って署名されたファイルや破損したファイル、または不明なソースからの悪意のあるソフトウェアがインストールされている可能性があります。 回復するには、次の手順に従ってください。
- 回復メディアを使用してオペレーティング システムを起動します。
- Windows 7 SP1 および Windows Server 2008 R2 SP1 用の展開イメージのサービスと管理 (DISM) を使用して、2019 年 8 月 13 日にリリースされた最新の SHA-2 更新プログラム (KB4474419) をインストールします。
- 回復メディアを再起動します。 この再起動が必要です
- コマンド プロンプトで、bcdboot.exe を実行します。 これにより、Windows ディレクトリからブート ファイルがコピーされ、ブート環境がセットアップされます。 詳細については、「BCDBoot コマンドライン オプション」を参照してください。
- オペレーティング システムを再起動します。
5. 2008 SP2 の 2019 年 9 月 10 日にリリースされた SHA-2 更新プログラム (Windows Server KB4474419) をインストールした後、.msu ファイルをダブルクリックして手動で更新プログラムをインストールできず、エラー "インストーラーでエラーが発生しました: 0x80073afc。リソース ローダーが MUI ファイルを見つけることができません。
この問題が発生した場合は、コマンド プロンプト ウィンドウを開き、次のコマンドを実行して更新プログラムをインストールすることで、この問題を軽減できます ( <msu の場所> プレースホルダーを更新プログラムの実際の場所とファイル名に置き換えます)。
wusa.exe < msu location> /quiet
この問題は、2019 年 10 月 8 日リリースの KB4474419 で解決されています。 この更新プログラムは、Windows Update および Windows Server Update Services (WSUS) から自動的にインストールされます。 この更新プログラムを手動でインストールする必要がある場合は、上記の回避策を使用する必要があります。
メモ 2019 年 9 月 23 日にリリースされた KB4474419 以前にインストールした場合は、この更新プログラムの最新バージョンが既にあり、再インストールする必要はありません。