"Windows Production CA 2011" galiojimo pabaigos ir įkrovos programos naujinimai

Taikoma
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Pradinė publikavimo data: 2026 m. spalio 22 d.
KB ID: 5132953

Nuo 2026 m. spalio 19 d. "„Microsoft“" saugiosios įkrovos sertifikatų, kurie iš pradžių išduoti 2011 m., galiojimo laikas baigėsi 15 metų. Šis galiojimo laikas nesukelia kompiuterių įsijungimo arba netrukdo paleisti "Windows". Esami įrenginiai toliau paleidžiami ir "Windows" veikia įprastai. Daugiau informacijos apie sertifikato galiojimo paįtaką "Windows" įrenginiams žr. Kada saugiosios įkrovos sertifikatų galiojimo laikas baigiasi "Windows" įrenginiuose. Išsamesnės informacijos apie platesnį 2026 m. saugiosios įkrovos sertifikato galiojimo laiką ir pakeitimo institucijas žr. "Windows" saugiosios įkrovos sertifikato galiojimo laikas ir CA naujinimai.

Tikslinė auditorija

Šis straipsnis skirtas IT specialistams, įmonių administratoriams ir diegimo inžinieriams, tvarkantiems fizinius "Windows" parkus, serverių darbo krūvius, virtualiąsias mašinas ir diegimo laikmeną.

Jei esate namų arba asmeninio kompiuterio vartotojas, kurio įrenginys automatiškai atnaujinamas naudojant „Windows Update“, jums nereikia imtis jokių šiame straipsnyje aprašytų veiksmų. "„Windows Update“" automatiškai tvarko asmeninių įrenginių sertifikatų ir paleisties failų naujinimus. Į vartotojus orientuotus nurodymus žr. "Windows" įrenginiai namų vartotojams, įmonėms ir mokymo įstaigoms su "„Microsoft“" valdomais naujinimais.

Kas pasikeitė?

Siekiant apsaugoti sistemas nuo kenkėjiškų programų prieš paleidimą ir neteisėto klastojimo, "Windows" vykdomiesiems failams naudojami skaitmeniniai parašai, patikrinti dviem skirtingais veikimo etapais:

  1. Patikrinimas prieš paleidimą Saugioji įkrova: Prieš įkeliant "Windows", UEFI programinė-aparatinė įranga patikrina "Windows" įkrovos programos skaitmeninį parašą (pvz., bootmgfw.efi ir cdboot.efi) pagal patikimas institucijas programinės-aparatinės įrangos leidžiamų parašų duomenų bazėje (DB).

  2. "Windows" operacinės sistemos vykdyklės tikrinimas: Paleidus "Windows", operacinės sistemos branduolys ir saugos funkcijos patikrina "Authenticode" tvarkyklių (.sys), sistemos tarnybų ir programų dvejetainių duomenų (, .dll) skaitmeninius parašus ..exe

Nuo 2026 m. spalio 19 d. baigėsi suplanuotas "„Microsoft“ Windows Production PCA 2011" sertifikato galiojimo laikas ir "„Microsoft“" abu pasirašymo domenus perdavė šiuolaikinėms sertifikavimo institucijoms:

Saugioji įkrova ir įkrovos programos naujinimai (išankstinis paleidimas)

  • "Bootloader" užšaldymas statine dvejetaine forma: Galutiniai "Windows" įkrovos tvarkytuvo leidimai, pasirašyti naudojant 2011 m. sertifikatą, yra užšaldyti statiniu dvejetainiu pavidalu visose palaikomose "Windows" priežiūros šakose ir ateityje negaus kodo priežiūros ar saugos pataisų.

  • Būsimiems įkrovos programos naujinimams reikalinga "Windows UEFI CA 2023": Visos vėlesnės "Windows" įkrovos programos saugos pataisos pasirašomos tik naudojant "Windows UEFI CA 2023" sertifikatų grandinę. Išsamios informacijos apie bendrąją įkrovos programos priežiūrą, įrenginio būsenos patikras ir registro sekimą žr. Saugiojo paleidimo sertifikato naujinimo būsena "„Windows“ sauga" programėlėje, Registro rakto naujinimai, skirti saugiajam paleidimui, ir "Windows" saugiosios įkrovos sertifikato galiojimo laikas ir CA naujinimai.

  • Diegimo laikmenos įkrovos programos perėjimas: Būsimame naujinimo žiniasklaidos leidime "„Microsoft“" platinama diegimo laikmena pagal numatytuosius parametrus pereis prie paleidimo naudojant 2023 m. pasirašytą įkrovos programą, laikmenoje išlaikant užšaldytą 2011 m. įkrovos programą. Medijos grąžinimo scenarijus bus pateiktas sukonfigūruoti laikmeną paleisti su užšaldyta 2011 bootloader sistemoms, kurioms to reikia. Išsamūs medijos planai ir grąžinimo įrankiai aprašyti skyriuje Įkrovos laikmena ir sąranka operacinėje sistemoje .

In-Windows operacinės sistemos dvejetainis ir katalogo pasirašymas (vykdyklė)

  • Perėjimas prie pakaitinių pasirašančiųjų institucijų: "Windows" operacinės sistemos turinys (įskaitant dvejetainius failus su įdėtais "Authenticode" parašais ir komponentais, autentifikuotais naudojant pasirašytus "Windows" saugos katalogus) Perėjimai iš nebebaigiamos "Windows Production PCA 2011" į pakeičiančias "„Microsoft“" sertifikavimo institucijas. Atminkite, kad ateityje pasirašymo sertifikavimo institucijos gali būti keičiamos, nes kriptografijos standartai ir pasirašymo praktika yra tobulinami.

  • PCA 2011 dvejetainio pasirašymo nutraukimas: Nuo 2026 m. spalio 19 d. "„Microsoft“" nebepasirašo jokio dvejetainio ar saugos katalogo naudodama 2011 m. PCA sertifikatą. Sistemose jau įdiegti esami dvejetainiai failai toliau veikia įprastai, bet negaus tolesnių naujinimų, pasirašytų 2011 m. sertifikatu.

  • Taikymo kontrolė ir tikrintojo poveikis Atnaujintus dvejetainius duomenis gali blokuoti pasirinktinės taikomosios programos verslui (WDAC) strategijos, pasirašyti saugos katalogai arba CI / CD tikrinimo įrankiai, prisegantys patikimumą PCA 2011 institucijai. Strategijų peržiūros ir trečiosios šalies programinės įrangos tikrinimo rekomendacijos aprašytos skyriuje "Veiklos aspektai ir galimas poveikis ".

Veiklos aspektai ir galimas poveikis

Nors palaikomų, visiškai atnaujintų "Windows" diegimų perėjimas vyksta sklandžiai, organizacijos, kurios taiko pasirinktines programų kontrolės strategijas, komponavimo versijos tikrinimo srautus arba konkrečias pasirašymo sertifikatų patikras, turi įvertinti šias veiklos sritis:

Programų valdymo strategijos (programų valdymas verslui / WDAC)

Jei jūsų organizacija naudoja programų kontrolę verslui arba pasirašytus saugos katalogus, peržiūrėkite taisykles, pagal kurias leidžiama "„Microsoft“" pasirašytą kodą naudoti konkrečią sertifikavimo instituciją, išdavėją arba kontrolinį kodą, pvz., "„Microsoft“ Windows Production PCA 2011". Atnaujinti "Windows" dvejetainiai failai ir saugos katalogai pasirašomi naudojant pakaitines sertifikavimo institucijas, o ne 2011 m. PCA sertifikatą, failai gali neatitikti šių taisyklių ir gali būti blokuojami juos įgyvendinus. Atkreipkite dėmesį, kad dvejetainio pasirašymo sertifikavimo institucijos ateityje gali būti keičiamos:

  • Galimi požymiai: nepavyko įdiegti kaupiamųjų saugos naujinimų, neveikia tarnybos paleisties metu, vykdomoji programa arba DLL blokai ir kodo vientisumo įvykis 3077 įvykių žurnale.

  • Sertifikato lankstumas ir būsimi pakeitimai: Nors atnaujinti "Windows" dvejetainiai failai ir saugos katalogai pereina prie pakeitimo institucijų, pasirašymo sertifikatai ir sertifikavimo institucijos ateityje pasikeis tobulėjant kriptografijos standartams. Dėl šios priežasties programų valdymo strategijose ir saugos kataloguose turėtų būti vengiama prisegti prie konkrečių sertifikavimo institucijų, temų ar kontrolinių naudmenų, o vietoj to turėtų būti naudojamos gerai žinomos leidėjo taisyklės arba strategijų paveldimumas, kurie išlieka suderinami, kai "„Microsoft“" laikui bėgant keičia pasirašymo sertifikatus.

  • Būtinas veiksmas: Ieškokite savo strategijos XML pasirašančiojo taisyklių, nurodančių "„Microsoft“" CA, įskaitant taisykles, paveldėtas iš pavyzdinių bazinių strategijų. Pirmiausia įdiekite strategijos pakeitimus audito režimu ir peržiūrėkite rezultatus prieš įgyvendindami. Išsamius strategijos peržiūros veiksmus ir ekosistemos rekomendacijas rasite "Windows" ekosistemos parengimas naujos kartos kodo pasirašymui.

Programos su pasirinktiniu sertifikato tikrinimu, CI/CD srautais ir saugos programine įranga

Dauguma "Windows" programų nepaveikiamos. Programoms kyla pavojus tik tada, jei jos naudoja pasirinktinį tikrinimą, susietą su konkrečiais "„Microsoft“" sertifikatais ar pasirašymo algoritmais, arba jei jos turi privačią patikimą saugyklą. Organizacijos, valdančios "Windows" programas, CI/CD srautus arba trečiųjų šalių saugos įrankius, turėtų įvertinti šias sritis (atkreipkite dėmesį, kad dvejetainio pasirašymo sertifikavimo institucijos ateityje gali būti keičiamos):

  • Individualios paraiškos sertifikato patvirtinimas: Bet kuri programa ar paslauga, atliekanti pasirinktinį tikrinimą ir numatanti, kad yra PCA 2011, tikrina konkrečias sertifikatų grandines, prisega sertifikato subjektams arba naudoja fiksuotas pasirašymo charakteristikas, gali susidurti su triktimis arba atmesti "„Microsoft“" pasirašytus failus, kuriuos "Windows" pripažįsta patikimais. Atnaujinkite programos tikrinimą, kad būtų naudojamos palaikomos "Windows" patikimumo API (pvz., "WinVerifyTrust"), o ne pasirinktinės patikros, susietos su fiksuotais sertifikatais ar pasirašymo algoritmais.

  • Programinė įranga, naudojanti privačias patikos parduotuves: Patikrinkite, ar bet kuri programa, konteineris ar paslauga, palaikanti privačią patikimumo saugyklą, turi procesą, atpažįstantį teisėtus "„Microsoft“" sertifikatų pakeitimus.

  • Komponavimo versijos tikrinimas ir CI/CD srautai: Automatiniai komponavimo vartai ir statiniai skaitytuvai, kurie įgalina statinį numatomų sertifikavimo institucijų leidžiamų sąrašą, gali pranešti apie naujai atnaujintų "Windows" komponentų tikrinimo klaidas (pvz., strategijos neatitikimo klaidas). Atnaujinti statinius pasirašančiųjų leidžiamųjų sąrašus, kad būtų atpažintos pakeičiančios "„Microsoft“" sertifikavimo institucijos, ir nustatyti tikrinimo procesus, kurie atitiktų būsimus sertifikavimo institucijų rotacijas keičiantis pasirašymo standartams.

  • Trečiųjų šalių saugos ir antivirusinė programinė įranga: Tam tikri trečiųjų šalių antivirusiniai, galinių punktų apsaugos ir programų apsaugos produktai tiesiogiai tikrina "Authenticode" parašus. Iš savo programinės įrangos tiekėjų įsitikinkite, kad jie peržiūrėjo ir patikrino suderinamumą su pakeičiančiais "„Microsoft“" pasirašymo sertifikatais. Techninių tikrinimo patarimų ieškokite "Windows" ekosistemos paruošimas naujos kartos kodo pasirašymui.

Įkrovos laikmenos diegimas senesnėje aparatūroje

Būsimuose naujinimų medijos leidimuose oficiali diegimo laikmena pagal numatytuosius parametrus bus pereinama prie paleidimo naudojant "Windows UEFI CA 2023" įkrovos tvarkytuvą:

  • Galimi simptomai: Atnaujintos laikmenos įkrovimas fizinėje aparatūroje, kurios UEFI programinės-aparatinės įrangos leistinų parašų duomenų bazėje (DB) trūksta 2023 m. sertifikato, nepavyks dėl saugiosios įkrovos pažeidimo.

  • Būtinas veiksmas: Senesnei aparatinei įrangai be atnaujintos OEM BIOS, kuri pasitiki 2023 m. sertifikatu, bus pateiktas medijos grąžinimo scenarijus, kad laikmena būtų sukonfigūruota paleisti naudojant užšaldytą 2011 m. įkrovos programą.

Įkrovos laikmenos ir sąrankos OS veikimas

Diegimo laikmenos ir operacinės sistemos sąrankos perėjimas skiriasi esamose "Windows" versijose ir būsimuose "Windows" leidimuose:

Diegimo laikmena, skirta esamoms "Windows" versijoms

  • Numatytasis diegimo laikmenos įkrovos kelias: Būsimuose diegimo medijos leidimuose, skirtuose šiuo metu palaikomoms "Windows" versijoms, 2023 m. pasirašytas "Windows" įkrovos tvarkytuvas bus \EFI\Boot\bootx64.efi kaip numatytasis laikmenos paleidimo failas.

  • Laikmenos grąžinimas senesnei programinei-aparatinei įrangai: Diegimo medijos paketai tiek 2023 m., tiek 2011 m. pasirašyti įkrovos dvejetainiai failai, išlaikant esamą katalogų struktūrą laikmenoje ir tiksliniame EFI sistemos skaidinyje (ESP). Aparatūrai, kuriai reikia 2011 įkrovos failų, bus pateiktas medijos grąžinimo scenarijus, kad būtų galima sukonfigūruoti laikmeną paleisti naudojant užšaldytą 2011 Boot Manager.

  • Versijos naujinimo vietoje veikimas: Atliekant versijos naujinimą vietoje, "Windows" sąranka tikrina programinės-aparatinės įrangos leistinų parašų duomenų bazę (DB). Jei programinė-aparatinė įranga jau pasitiki "Windows UEFI CA 2023", sąranka parengia paskirties EFI sistemos skaidinį (ESP) su 2023 m. pasirašyta įkrovos tvarkytuve. Jei programinė-aparatinė įranga pasitiki tik PCA 2011, sąranka teikia 2011 m. pasirašytą įkrovos tvarkytuvą, kad būtų išsaugota paleisties galimybė. Po naujovinimo standartinis "Windows" aptarnavimas valdo programinės-aparatinės įrangos DB sertifikatų naujinimus, o vėlesni kokybės naujinimai perkelia ESP į 2023 m. įkrovos įkeltį, kai sukuriamas programinės-aparatinės įrangos patikimumas.

  • "Azure Marketplace" medijos perėjimas: "Azure" pirmosios šalies VM galerijos vaizdai ir pagrindinio kompiuterio diegimo srautai atitinka 2023 m. numatytąjį įkrovos medijos tvarkaraštį.

Diegimo laikmena, skirta būsimoms "Windows" versijoms

  • Būsimuose pagrindiniuose "Windows" kliento ir serverio leidimuose diegimo laikmenoje bus tik 2023 m. pasirašyti įkrovos dvejetainiai failai, o 2011 m. pasirašyti įkrovos dvejetainiai failai bus visiškai pašalinti iš laikmenos.

  • Būsimiems leidimams taikomi patikimumo reikalaujantys programinės-aparatinės įrangos reikalavimai: Būsimiems pagrindiniams "Windows" leidimams programinėje-aparatinėje įrangoje reikalingas "Windows UEFI CA 2023" sertifikatas Leidžiama parašų duomenų bazė (DB), kad būtų galima paleisti diegimo laikmeną ir užbaigti "Windows" sąranką.

Medijos generavimas ir atsarginiai scenarijai

Skirtingų kartų aparatūros medijos valdymas palaikomas naudojant toliau nurodytus scenarijus:

  • Žemesnio lygio medijos naujinimas: Jei naudojate esamą diegimo laikmeną, kurios numatytasis parametras yra 2011 įkrovos programos programa, atnaujinkite laikmeną į numatytąją 2023 įkrovos įkelties programą naudodami Make2023BootableMedia.ps1. Išsamius scenarijaus parametrus ir atsisiuntimo instrukcijas rasite "Windows" įkrovos laikmenos naujinimas, kad būtų galima naudoti PCA2023 pasirašytą įkrovos tvarkytuvą.

  • Medijos grąžinimo scenarijus senesnei programinei-aparatinei įrangai: Diegiant laikmeną sistemose su programine-aparatine įranga, laukiančia OEM atnaujinimo 2023 m. sertifikatui, minėtas medijos grąžinimo scenarijus gali sukonfigūruoti laikmeną paleisti naudojant užšaldytą 2011 m. įkrovos programą.

Dažnai užduodami klausimai

  • Ar atnaujinus įkrovos programą paleidžiamas "BitLocker" atkūrimas?

    Nors "Windows" aptarnavimas koordinuoja platformos matavimus naujinimų metu, atsižvelgiant į įrenginio apsauginės priemonės konfigūraciją, programinės-aparatinės įrangos veikimą ir sistemos būseną gali pasirodyti netikėti "BitLocker" atkūrimo raginimai. Administratoriai ir įrenginių savininkai turėtų užtikrinti, kad "BitLocker" atkūrimo kodų atsarginės kopijos būtų saugiai sukurtos prieš taikydami bet kokius įkrovos grandinės, programinės-aparatinės įrangos arba saugiosios įkrovos naujinimus, įskaitant mėnesinius "Windows" kokybės naujinimus.

  • Kaip virtualiosios mašinos veikia "Hyper-V", "Azure" ir "VMware"?

    2 kartos "Hyper-V" virtualiosios mašinos gauna atnaujintus sertifikatus per standartinius kaupiamuosius "Windows" naujinimus. "Azure Trusted Launch" ir konfidencialios virtualiosios mašinos gauna naujinimus per "Azure" platformos techninę priežiūrą. Jei naudojate "VMware vSphere", įsitikinkite, kad ESXi pagrindiniai kompiuteriai ir VM aparatūros versijos yra atnaujintos į leidimus, kuriuose svečio UEFI šablonuose yra 2023 m. sertifikatai. Daugiau informacijos žr. Patikimo paleidimo virtualiosios mašinos ir Konfidencialios virtualiosios mašinos programoje "Azure".

  • Kas atsitiks, jei įrenginys niekada negaus 2023 m. sertifikato?

    Įrenginys ir toliau bus paleidžiamas naudojant užšaldytą 2011-pasirašytą įkrovos programą, bet jis negaus naujų įkrovos programos saugos pataisų, jei ateityje bus aptikta įkrovos lygio spragų. Be to, būsimuose pagrindiniuose "Windows" leidimuose reikės 2023 m. sertifikato leidžiamų parašų duomenų bazėje (DB), o diegimo laikmena blokuos diegimą įrenginiuose, kuriuose jo nėra.

Pakeitimų žurnalas
Datos keitimas Keitimų aprašas
2026 m. spalio 22 d. Pradinis leidinys, apimantis 2026 m. spalio 19 d. "Windows Production PCA 2011" galiojimo pabaigą, įkrovos programos užšaldymą, būsimus diegimo medijos naujinimus, programų kontrolės pasekmes ir atsarginius konvertavimo įrankius.