Pradinė publikavimo data: 2026 m. rugpjūčio 20 d.
KB ID: 5125813
Svarbu
Veiksmai, kuriuos reikia atlikti programų kūrėjams ir IT administratoriams
Įžanga
"„Microsoft“" atnaujina "Windows" kodo pasirašymo infrastruktūrą, kad pakeistų besibaigiančius sertifikatus (CA), sustiprintų pasirašymo algoritmus ir pasirengtų post-kvantinei kriptografijai (PQC). Kai kurios programos gali nepavykti, kai pasikeičia "„Microsoft“" pasirašymo sertifikatai ar algoritmai, net jei "Windows" mano, kad pasirašytas failas yra galiojantis ir patikimas. Kūrėjai ir programinės įrangos pardavėjai turėtų peržiūrėti visas sertifikatų ir parašų tikrinimo operacijas, kad įsitikintų, jog jos palaiko kriptografinį lankstumą ir yra pasirengę planuojamiems ir būsimiems CA pakeitimams. Paraiškos neturi priklausyti nuo konkretaus sertifikato pavadinimo, nykščio atspaudo, išdavėjo, rakto dydžio ar suvestinės / maišos algoritmo. Vietoj to, deleguokite šiuos patikrinimus patvirtintoms API, kad įsitikintumėte, jog jie išlieka agnostiški pavadinimų suteikimo konvencijoms ir algoritmų pasirinkimui.
Kas keičiasi
- "Windows Production" CA pakeitimas: "„Microsoft“ Windows Production PCA 2011" galiojimas baigiasi 2026 m. spalio 19 d. Per ateinančias savaites "„Microsoft“" pereis "Windows" pasirašymą į pakaitinę CA su tomis pačiomis saugos ypatybėmis. Programos, kurios prisegamos prie senosios CA, šio perėjimo metu gali nepavykti.
- Tvirtesnis pasirašymas: siekdama palaikyti kintančius saugos ir atitikties reikalavimus, "Windows" iki 2026 m. pabaigos pereina prie griežtesnių konfigūracijų, įskaitant RSA-3072 ir SHA-384. Programos, kurios užprogramavo numatomas pasirašymo konfigūracijas, šio perėjimo metu gali neveikti.
- PQC perėjimas: "Windows" pasirašymas pereis prie post-kvantinio pasirašymo 2027 m. Besikeičiantis PQC kraštovaizdis ir klientų reikalavimai kriptografinį lankstumą iškelia į priekį ir centrą šiame perėjime. Ateityje pasirašymui gali būti naudojami nauji algoritmai ir hibridinės parašo konstrukcijos, todėl gali prireikti greitų pokyčių, kai prisitaikysime prie postkvantinio pasaulio.
Suderinamumo rizika
"„Microsoft“" tikrino programas, kurios nepavyksta pakeitus "Windows" pasirašymo sertifikatus ar algoritmus. Veiksmai, galintys sukelti suderinamumo triktis:
- Dviejų ar daugiau pasirašytų dvejetainių sertifikatų grandinių palyginimas ir patikimumo sprendimų pagrindimas jų atitikimu.
- "„Microsoft“" sertifikato temų, išdavėjų, nykščio atspaudų, serijos numerių ar tarpinių CA prisegimas.
- Parašų reikalavimas norint naudoti SHA-256, RSA-2048 ar kitą konkretų algoritmą.
- Authenticode parašų arba sertifikatų grandinių analizė tiesiogiai, užuot naudojus "Windows" patikimumo API.
- Naudojant privačią patikimumo saugyklą, kuri nėra atnaujinta "„Microsoft“" sertifikatų pakaitalams.
Šie metodai gali atmesti failą, kurį "Windows" tinkamai patikrina kaip patikimą. Jie taip pat riboja "„Microsoft“" galimybę pasukti sertifikatus, sustiprinti kriptografiją ir pereiti prie PQC.
Rekomendacijos programų kūrėjams
- Patikrinkite patikimumą, ne sertifikato tapatybę. Nustatykite, ar "Windows" pasitiki parašu. Nereikalauja konkrečios "„Microsoft“" CA, sertifikato pavadinimo ar kontrolinio atspaudo, nebent "„Microsoft“" dokumentuoja juos kaip palaikomą sutartį. Neįgalinkite sertifikatų grandinių atitikties pasirašytuose dvejetainiuose failuose.
- Naudokite palaikomas "Windows" API. Naudokite "WinVerifyTrust" arba atitinkamas "CryptoAPI" / "Crypt32" grandinės ir strategijos sąsajas. Venkite pasirinktinio autentifikavimo ir sertifikatų grandinės tikrinimo.
- Išlikite nepriklausomi nuo algoritmų. Nemanykite, kad patikimi "„Microsoft“" parašai visada naudoja fiksuotą algoritmų poravimą, pvz., RSA-2048 + SHA-256.
- Testo sertifikato pakeitimai. Patikrinkite paraiškas dėl pakeičiančių "„Microsoft“" sertifikatų hierarchijų ir griežtesnių pasirašymo konfigūracijų.
- Peržiūrėkite privačias patikos parduotuves. Jei jūsų produktas turi savo patikimumo saugyklą, nustatykite procesą, kuris atpažintų teisėtus "„Microsoft“" sertifikatų pakeitimus.
Rekomendacijos IT administratoriams
Paklauskite kritinės programinės įrangos tiekėjų, ar jų programos,
- Naudokite palaikomas "Windows" patikimumo API.
- Prisekite "„Microsoft“" sertifikatus arba sertifikavimo institucijas.
- buvo išbandyti naudojant pakaitinius "„Microsoft“" pasirašymo sertifikatus ir SHA-384 parašus;
- Tvarkyti privačią patikimumo saugyklą ir turėti sertifikato atnaujinimo procesą.
- Turėkite planą būsimiems PQC pasirašymo pakeitimams.
Laiko planavimo juosta
- Dabar: "„Microsoft“ Windows Production PCA 2011" galiojimo laikas baigiasi 2026 m. spalio 19 d. Vyksta pakeitimas nauju PCA. Su naujuoju PCA ("„Microsoft“ Windows Production PCA 2026") pasirašyta ši peržiūros versija: Peržiūros versijos komponavimo versija 26100.9539/26200.9539.
- Vėliau 2026 m.: "Windows Production" pasirašymas pereina prie griežtesnių konfigūracijų.
- 2027 m.: "Windows Production" pasirašymas pagal numatytuosius parametrus pereina prie PQC, atsižvelgiant į žemesnio lygio platformas ir senas sistemas.
- Tęsiama: Keičiantis saugos reikalavimams ir klientų reikalavimams, mes ir toliau tobulinsime sertifikatus ir atnaujinsime algoritmus.
Raginimas veikti
Peržiūrėkite tikrinimo logiką dabar. Programos turi remtis "Windows" patikimumo sprendimais, o ne fiksuotomis prielaidomis apie "„Microsoft“" sertifikatus ar šifravimo algoritmus. Tai būtina norint išlikti suderinamiems po 2026 m. sertifikato perkėlimo ir būsimų PQC pasirašymo pakeitimų.
Pakeitimų žurnalas
| Datos keitimas | Keitimų aprašas |
|---|---|
| 2026 m. rugsėjo 10 d. | Atnaujinta laiko planavimo juosta su galimybe peržiūrėti leidimą. |