비즈니스용 애플리케이션 제어 새 CA 처리 논리에 대한 Windows 지원

소개

이 문서에서는 Microsoft CA(중간 인증 기관)에 대한 TBS 해시 값이 지정된 서명자 규칙에 대한 새 비즈니스 용 애플리케이션 제어(이전의 WDAC(Windows Defender Application Control)) 처리 논리를 간략하게 설명합니다.

Microsoft 발급 CA

Microsoft 및 Windows 구성 요소는 주로 6개의 Microsoft 발급 CA에서 발급한 리프 인증서로 서명됩니다. 2025년 7월부터 이러한 15년 발급 CA는 다음 일정에 따라 만료되기 시작합니다.

CA 이름	TBS 해시	만료 날짜
Microsoft Code Signing PCA 2010	`121AF4B922A74247EA49DF50DE37609CC1451A1FE06B2CB7E1E079B492BD8195`	2025년 7월 6일
Microsoft Windows PCA 2010	`90C9669670E75989159E6EEF69625EB6AD17CBA6209ED56F5665D55450A05212`	2025년 7월 6일
Microsoft Code Signing PCA 2011	`F6F717A43AD9ABDDC8CEFDDE1C505462535E7D1307E630F9544A2D14FE8BF26E`	2026년 7월 8일
Windows 프로덕션 PCA 2011	`4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146`	2026년 10월 19일
Microsoft Windows 타사 구성 요소 CA 2012	`CEC1AFD0E310C55C1DCC601AB8E172917706AA32FB5EAF826813547FDF02DD46`	2027년 4월 18일

CA 이름	TBS 해시
Microsoft Code Signing PCA 2010이 로 대체됨
Microsoft Windows Code 서명 PCA 2024	`C64CE3455898F871D11C14DA412AAC58FA2022D4213D8AC05F8DD6909B2FB0FCC76C19A1913DF5BC0CB1662229AD15D1`
Microsoft Windows PCA 2010이 로 대체됨
Microsoft Windows 구성 요소 사전 프로덕션 CA 2024	`84A5BD1CCB7CD6509FF7214F4BA27D51CCF72BE2AC4AA7F0E97BC066FC804EBB635E8305D7D1108F89B4CF7BB2CAFED9`
Microsoft Code Signing PCA 2011이 로 대체됨
Microsoft Code Signing PCA 2024	`B52C1E712CF71D080614DDF95F8258BE0738C0722BD8A55F0AF4361BACEE35B6D73DCACB1B9DE10B5FD28508A3A50EAE`
Windows 프로덕션 PCA 2011 이 로 대체됨
Windows 프로덕션 PCA 2023	`34EEC0CD7321C9C20309BEF31164D92B88E892341DE67FE2684D9E7FDA09C9E46B05498FB38E29B421E845FEB8C7A4CD`
Microsoft Windows 타사 구성 요소 CA 2012 가 로 대체됨
Microsoft Windows 타사 구성 요소 CA 2024	`FFFA64ABBB400583B3F812A196A8AF7ABF329D4882F26221A142D734620B759D1E168537CC6DA74807C2E20C70DA7B78`

권장되지만 위의 표에 TBS 해시 값이 나열된 서명자 규칙이 있는 Application Control 정책은 새 2023 및 2024 CA에서 서명한 구성 요소를 신뢰하도록 업데이트할 필요가 없습니다. 애플리케이션 제어는 정책에 현재 CA를 신뢰하는 규칙이 있는 경우 새 2023 및 2024 CA 및 해당 TBS 해시 값을 자동으로 유추합니다.

예를 들어 정책이 다음 규칙을 사용하여 Windows 프로덕션 PCA 2011을 신뢰하는 경우 새 Windows 프로덕션 PCA 2023에 대한 신뢰가 자동으로 유추됩니다. CertEKU, CertPublisher, FileAttribRef 및 CertOemId와 같은 서명자 요소는 추론 논리에 유지됩니다.

서명자 규칙 예제

현재 서명자 규칙

<Signer ID="ID_SIGNER_WINDOWS_CA_1" Name="Microsoft Windows Production PCA 2011"> 

  <CertRoot Type="TBS" Value="4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146" /> 

  <CertEKU ID="ID_EKU_WINDOWS" /> 

</Signer>

유추된 서명자 규칙

<Signer ID="ID_SIGNER_WINDOWS_CA_2" Name=" Windows Production PCA 2023 "> 

  <CertRoot Type="TBS" Value=" 34EEC0CD7321C9C20309BEF31164D92B88E892341DE67FE2684D9E7FDA09C9E46B05498FB38E29B421E845FEB8C7A4CD " /> 

  <CertEKU ID="ID_EKU_WINDOWS" />     

</Signer>

또한 새 처리 논리는 정책에서 서명자 규칙을 거부하도록 확장됩니다. 따라서 기존 CA에서 서명한 구성 요소를 거부한 경우 해당 구성 요소는 새 2023 및 2024 CA로 서명되면 계속 거부됩니다.

현재 서명자 규칙

<Signer ID="ID_SIGNER_DENY_FOO_1" Name="Microsoft Code Signing PCA 2011”> 

  <CertRoot Type="TBS" Value=" F6F717A43AD9ABDDC8CEFDDE1C505462535E7D1307E630F9544A2D14FE8BF26E" /> 

  <CertPublisher Value="Microsoft Corporation" /> 

  <FileAttribRef RuleID="ID_FILEATTRIB_DENY_FOO" /> 

</Signer>

유추된 서명자 규칙

<Signer ID="ID_SIGNER_DENY_FOO_2" Name = “Microsoft Code Signing PCA 2024”> 

  <CertRoot Type="TBS" Value=" B52C1E712CF71D080614DDF95F8258BE0738C0722BD8A55F0AF4361BACEE35B6D73DCACB1B9DE10B5FD28508A3A50EAE" /> 

  <CertPublisher Value="Microsoft Corporation" /> 

  <FileAttribRef RuleID="ID_FILEATTRIB_DENY_FOO" /> 

</Signer>

호환성

Microsoft는 다음 표에 따라 애플리케이션 제어가 지원되는 지원되는 모든 플랫폼에 만료되는 CA에 대한 TBS 해시 처리 논리를 처리했습니다.

Windows OS	이 릴리스 및 이후 릴리스 시작
Windows Server 2025	2025년 5월 13일 — KB5058411(OS 빌드 26100.4061)
Windows 11 버전 24H2	2025년 4월 25일 — KB5055627(OS 빌드 26100.3915) 미리 보기
Windows Server 버전 23H2	2025년 5월 13일 — KB5058384(OS 빌드 25398.1611)
Windows 11, 버전 22H2 및 23H2	2025년 4월 22일 — KB5055629(OS 22621.5262 및 22631.5262) 미리 보기
Windows Server 2022	2025년 5월 13일 — KB5058385(OS 빌드 20348.3692)
Windows 10, 버전 21H2 및 22H2	2025년 5월 13일 — KB5058379(OS 빌드 19044.5854 및 19045.5854)
Windows 10 버전 1809 및 Windows Server 2019	2025년 5월 13일 — KB5058392(OS 빌드 17763.7314)
Windows 10, 버전 1607 및 Windows Server 2016	2025년 5월 13일 — KB5058383(OS 빌드 14393.8066)

옵트아웃하는 방법

애플리케이션 제어에서 수행하는 TBS 해시 추론 논리에서 시스템을 옵트아웃하려면 정책에서 다음 플래그를 설정합니다. 사용 안 함: 기본 Windows 인증서

비즈니스용 애플리케이션 제어 새 CA 처리 논리에 대한 Windows 지원

소개

Microsoft 발급 CA

서명자 규칙 예제

호환성

옵트아웃하는 방법

도움이 더 필요하세요?

더 많은 옵션을 원하세요?

이 정보가 유용한가요?

의견 주셔서 감사합니다!