Oorspronkelijke publicatiedatum: 20 augustus 2026
KB-id: 5125813
Belangrijk
Actie vereist voor ontwikkelaars van toepassingen en IT-beheerders
Inleiding
Microsoft werkt de Windows-infrastructuur voor codeondertekening bij om verlopen certificaten (CA's) te vervangen, ondertekeningsalgoritmen te versterken en voorbereidingen te treffen voor post-kwantumcryptografie (PQC). Sommige toepassingen kunnen mislukken wanneer Microsoft-handtekeningcertificaten of -algoritmen veranderen, zelfs wanneer Windows het ondertekende bestand als geldig en vertrouwd beschouwt. Ontwikkelaars en softwareleveranciers moeten alle validatiebewerkingen voor certificaten en handtekeningen controleren om er zeker van te zijn dat ze cryptografische flexibiliteit ondersteunen en zijn voorbereid op geplande en toekomstige CA-wijzigingen. Toepassingen mogen niet afhankelijk zijn van een specifieke certificaatnaam, vingerafdruk, uitgever, sleutelgrootte of digest/hash-algoritme. Delegeer deze inspecties in plaats daarvan aan goedgekeurde API's om ervoor te zorgen dat ze onafhankelijk blijven van naamgevingsconventies en algoritmeselectie.
Wat verandert er?
- Vervanging van Windows-productiecertificeringsinstantie: Microsoft Windows-productieversie PCA 2011 verloopt op 19 oktober 2026. Microsoft zal Windows-ondertekening in de komende weken overzetten naar een vervangende certificeringsinstantie met dezelfde beveiligingseigenschappen. Toepassingen die zijn vastgemaakt aan de oude certificeringsinstantie kunnen tijdens deze overgang mislukken.
- Sterkere ondertekening: om veranderende beveiligings- en nalevingsvereisten te ondersteunen, evolueert Windows naar sterkere configuraties, waaronder RSA-3072 en SHA-384, tegen het einde van 2026. Toepassingen die verwachte ondertekeningsconfiguraties hard coderen, kunnen tijdens deze overgang mislukken.
- PQC-overgang: Windows-ondertekening wordt in 2027 overgezet naar post-kwantumondertekening. Het evoluerende landschap van PQC en klantvereisten plaatsen cryptografische flexibiliteit centraal in deze overgang. Toekomstige ondertekening kan nieuwe algoritmen en hybride handtekeningconstructies gebruiken en kan snelle veranderingen vereisen terwijl we ons aanpassen aan de post-kwantumwereld.
Compatibiliteitsrisico
Microsoft heeft toepassingen geïdentificeerd die mislukken nadat Windows-handtekeningcertificaten of algoritmen zijn gewijzigd. Acties die kunnen leiden tot compatibiliteitsfouten zijn onder andere:
- Certificaatketens tussen twee of meer ondertekende binaire bestanden vergelijken en vertrouwensbeslissingen baseren op de vraag of ze overeenkomen.
- Microsoft-certificaatonderwerpen, -verleners, vingerafdrukken, serienummers of tussenliggende certificeringsinstanties vastmaken.
- Handtekeningen vereisen om SHA-256, RSA-2048 of een ander specifiek algoritme te gebruiken.
- Authenticode-handtekeningen of certificaatketens rechtstreeks parseren in plaats van Windows-vertrouwde API's te gebruiken.
- Met een persoonlijk vertrouwensarchief dat niet is bijgewerkt voor Microsoft-certificaatrotaties.
Deze methoden kunnen een bestand weigeren dat Windows correct als vertrouwd heeft gevalideerd. Ze beperken ook de mogelijkheid van Microsoft om certificaten te roteren, de cryptografie te versterken en over te stappen op PQC.
Richtlijnen voor toepassingsontwikkelaars
- Valideer het vertrouwen, niet de certificaatidentiteit. Bepaal of Windows de handtekening vertrouwt. Vereis geen specifieke Microsoft-certificeringsinstantie, certificaatnaam of vingerafdruk, tenzij Microsoft deze documenteert als een ondersteund contract. Dwing geen overeenkomsten van certificaatketens af tussen ondertekende binaire bestanden.
- Ondersteunde Windows-API's gebruiken. Gebruik WinVerifyTrust of de juiste CryptoAPI/Crypt32-keten en beleidsinterfaces. Vermijd aangepaste Authenticode- en certificaatketenvalidatie.
- Blijf algoritme-agnostisch. Ga er niet vanuit dat vertrouwde Microsoft-handtekeningen altijd gebruikmaken van een vaste algoritmekoppeling zoals RSA-2048 + SHA-256.
- Wijzigingen in testcertificaat. Valideer toepassingen op vervangende Microsoft-certificaathiërarchieën en sterkere ondertekeningsconfiguraties.
- Bekijk particuliere trustwinkels. Als uw product een eigen vertrouwensarchief onderhoudt, stelt u een proces in om legitieme Microsoft-certificaatrotaties te herkennen.
Richtlijnen voor IT-beheerders
Vraag kritische softwareleveranciers of hun applicaties,
- Gebruik ondersteunde Windows-vertrouwens-API's.
- Microsoft-certificaten of certificeringsinstanties vastmaken.
- Zijn getest met vervangende Microsoft-handtekeningcertificaten en SHA-384-handtekeningen.
- Onderhoud een persoonlijk vertrouwensarchief en zorg voor een proces voor het bijwerken van certificaten.
- Maak een plan voor toekomstige wijzigingen in de PQC-ondertekening.
Tijdlijn
- Nu: De Microsoft Windows Production PCA 2011 verloopt op 19 oktober 2026. Vervanging door een nieuwe PCA is aan de gang. De volgende Release Preview is ondertekend met de nieuwe PCA (Microsoft Windows Production PCA 2026): Release Preview Build 26100.9539/26200.9539.
- Later in 2026: Windows Production-ondertekening gaat over op sterkere configuraties.
- 2027: Windows-productie ondertekening gaat standaard over op PQC, met overwegingen voor platforms met een lager niveau en verouderde systemen.
- Doorlopend: We gaan door met certificaatrotaties en algoritme-updates naarmate de beveiligingsvereisten en klantvereisten veranderen.
Oproep tot actie
Controleer nu uw validatielogica. Toepassingen moeten vertrouwen op Windows-vertrouwensbeslissingen, niet op vaststaande aannames over Microsoft-certificaten of cryptografische algoritmen. Dit is nodig om compatibel te blijven tijdens de certificaatovergang van 2026 en toekomstige wijzigingen in PQC-ondertekening.
Wijzigingenlogboek
| Datum wijzigen | Beschrijving van wijziging |
|---|---|
| 10 september 2026 | Bijgewerkte tijdlijn met beschikbaarheid van Release Preview. |