차세대 코드 서명을 위한 Windows 에코시스템 준비

적용 대상

Win 10 Ent LTSB 2016 Win 10 Ent LTSC 2019 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 version 24H2, all editions Windows 11 version 25H2, all editions Windows 11 version 26H1, all editions Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

원래 게시 날짜: 2026년 8월 20일
KB ID: 5125813

중요

애플리케이션 개발자 및 IT 관리자를 위한 작업

소개

Microsoft는 만료되는 인증서(CA)를 대체하고, 서명 알고리즘을 강화하고, PQC(양자 후 암호화)를 준비하기 위해 Windows 코드 서명 인프라를 업데이트하고 있습니다. Microsoft에서 서명된 파일이 유효하고 신뢰할 수 있는 것으로 간주하는 경우에도 Microsoft 서명 인증서 또는 알고리즘이 변경되면 일부 애플리케이션이 실패할 수 있습니다. 개발자와 소프트웨어 공급업체는 모든 인증서 및 서명 유효성 검사 작업을 검토하여 암호화 민첩성을 지원하고 계획된 및 향후 CA 변경에 대비해야 합니다. 애플리케이션은 특정 인증서 이름, 지문, 발급자, 키 크기 또는 다이제스트/해시 알고리즘에 종속되어서는 안 됩니다. 대신, 이러한 검사를 승인된 API에 위임하여 명명 규칙 및 알고리즘 선택에 영향을 받지 않도록 합니다.

변경 내용

Windows 프로덕션 CA 교체: Microsoft Windows 프로덕션 PCA 2011은 2026년 10월 19일에 만료됩니다. Microsoft는 향후 몇 주 안에 Windows 서명을 동일한 보안 속성을 가진 대체 CA로 전환할 예정입니다. 이전 CA에 고정되는 응용 프로그램은 이 전환 중에 실패할 수 있습니다.
더 강력한 서명: 진화하는 보안 및 규정 준수 요구 사항을 지원하기 위해 Windows는 2026년 말까지 RSA-3072 및 SHA-384를 비롯한 더 강력한 구성으로 전환하고 있습니다. 예상되는 서명 구성을 하드 코딩하는 응용 프로그램은 이 전환 중에 실패할 수 있습니다.
PQC 전환: Windows 서명은 2027년에 양자 후 서명으로 전환됩니다. PQC의 진화하는 환경과 고객 요구 사항은 이러한 전환에서 암호화 민첩성을 최우선으로 생각합니다. 향후 서명은 새로운 알고리즘과 하이브리드 서명 구성을 사용할 수 있으며 양자 이후 세계에 적응함에 따라 급격한 변경이 필요할 수 있습니다.

호환성 위험

Microsoft 테스트에서는 Windows 서명 인증서 또는 알고리즘이 변경된 후 실패하는 애플리케이션을 확인했습니다. 호환성 실패로 이어질 수 있는 작업은 다음과 같습니다.

둘 이상의 서명된 이진 파일 간의 인증서 체인을 비교하고 일치 여부에 따라 신뢰를 결정합니다.
Microsoft 인증서 주체, 발급자, 지문, 일련 번호 또는 중간 CA를 고정합니다.
SHA-256, RSA-2048 또는 다른 특정 알고리즘을 사용하려면 서명이 필요합니다.
Windows 신뢰 API를 사용하는 대신 Authenticode 서명 또는 인증서 체인을 직접 구문 분석합니다.
Microsoft 인증서 순환을 위해 업데이트되지 않은 개인 신뢰 저장소를 사용합니다.

이러한 메서드는 Windows에서 신뢰할 수 있는 것으로 올바르게 유효성을 검사하는 파일을 거부할 수 있습니다. 또한 인증서를 회전하고, 암호화를 강화하고, PQC로 전환하는 Microsoft의 기능을 제한합니다.

애플리케이션 개발자를 위한 지침

인증서 ID가 아닌 신뢰의 유효성을 검사합니다. Windows가 서명을 신뢰하는지 여부를 확인합니다. Microsoft에서 지원되는 계약으로 문서화하지 않는 한 특정 Microsoft CA, 인증서 이름 또는 지문을 요구하지 마세요. 서명된 이진 파일 간에 인증서 체인 일치를 강제하지 마세요.
지원되는 Windows API를 사용합니다. WinVerifyTrust 또는 적절한 CryptoAPI/Crypt32 체인 및 정책 인터페이스를 사용합니다. 사용자 지정 Authenticode 및 인증서 체인 유효성 검사를 피합니다.
알고리즘에 구애받지 않습니다. 신뢰할 수 있는 Microsoft 서명이 항상 RSA-2048 + SHA-256과 같은 고정 알고리즘 쌍을 사용한다고 가정하지 마세요.
인증서 변경 내용을 테스트합니다. 대체 Microsoft 인증서 계층 구조 및 더 강력한 서명 구성에 대해 응용 프로그램의 유효성을 검사합니다.
프라이빗 트러스트 저장소를 검토합니다. 제품이 자체 신뢰 저장소를 유지 관리하는 경우 합법적인 Microsoft 인증서 순환을 인식하는 프로세스를 수립합니다.

IT 관리자를 위한 지침

중요한 소프트웨어 공급업체에 자사의 애플리케이션이

지원되는 Windows 신뢰 API를 사용합니다.
Microsoft 인증서 또는 인증 기관을 고정합니다.
대체 Microsoft 서명 인증서 및 SHA-384 서명으로 테스트를 완료함.
개인 신뢰 저장소를 유지 관리하고 인증서 업데이트 프로세스를 수행합니다.
향후 PQC 서명 변경에 대한 계획을 세우세요.

타임라인

현재: Microsoft Windows 프로덕션 PCA 2011은 2026년 10월 19일에 만료됩니다. 새 PCA로 교체하는 작업이 진행 중입니다. 다음 릴리스 프리뷰는 새 PCA(Microsoft Windows 프로덕션 PCA 2026)로 서명되었습니다. 릴리스 프리뷰 빌드 26100.9539/26200.9539.
2026년 후반기: Windows 프로덕션 서명이 더 강력한 구성으로 전환됩니다.
2027: Windows 프로덕션 서명은 하위 수준 플랫폼 및 레거시 시스템을 고려하여 기본적으로 PQC로 전환됩니다.
진행 중: 보안 요구 사항 및 고객 요구 사항이 진화함에 따라 인증서 순환 및 알고리즘 업데이트를 계속할 것입니다.

조치 사항

지금 유효성 검사 논리를 검토합니다. 애플리케이션은 Microsoft 인증서나 암호화 알고리즘에 대한 고정된 가정이 아닌 Windows 신뢰 결정에 의존해야 합니다. 이는 2026년 인증서 전환 및 향후 PQC 서명 변경을 통해 호환성을 유지하는 데 필요합니다.

로그 변경

날짜 변경	설명 변경
2026년 9월 10일	릴리스 프리뷰 가용성으로 타임라인이 업데이트되었습니다.