Uwaga
- Data pierwotnej publikacji: 20 maja 2025 r
- Identyfikator KB: 5061682
Dziennik zmian
| Zmień datę | Opis zmiany |
|---|---|
| 2 lipca 2025 r. |
|
Wprowadzenie
W tym artykule opisano nową logikę obsługi funkcji Kontrola aplikacji dla firm (wcześniej znana jako Kontrola aplikacji usługi Windows Defender (WDAC)) dla reguł osoby podpisującej, w której jest określona wartość skrótu TBS dla pośredniego urzędu certyfikacji (CA) Microsoft.
Urzędy certyfikacji wystawiające dokumenty firmy Microsoft
Składniki firmy Microsoft i systemu Windows są podpisane certyfikatami-liściami wystawionymi głównie przez sześć wystawiających urzędów certyfikacji firmy Microsoft. Począwszy od lipca 2025 r., te 15-letnie wystawiające urzędy certyfikacji zaczną wygasać zgodnie z następującym harmonogramem.
| Nazwa urzędu certyfikacji | Skrót TBS | Data wygaśnięcia |
|---|---|---|
| Microsoft Code Signing PCA 2010 | 121AF4B922A74247EA49DF50DE37609CC1451A1FE06B2CB7E1E079B492BD8195 | 6 lipca 2025 r |
| Microsoft Windows PCA 2010 | 90C9669670E75989159E6EEF69625EB6AD17CBA6209ED56F5665D55450A05212 | 6 lipca 2025 r |
| Microsoft Code Signing PCA 2011 | F6F717A43AD9ABDDC8CEFDDE1C505462535E7D1307E630F9544A2D14FE8BF26E | 8 lipca 2026 r. |
| Windows Production PCA 2011 | 4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146 | 19 października 2026 r. |
| Składnik systemu Microsoft Windows, wersja CA 2012 | CEC1AFD0E310C55C1DCC601AB8E172917706AA32FB5EAF826813547FDF02DD46 | 18 kwietnia 2027 r. |
Chociaż jest to zalecane, zasady kontroli aplikacji, które mają reguły osoby podpisującej z wartościami skrótu TBS wymienionymi w powyższej tabeli, nie muszą być aktualizowane, aby ufać składnikom podpisanym przez nowe urzędy certyfikacji 2023 i 2024. Kontrola aplikacji automatycznie wywnioskuje zaufanie do nowych urzędów certyfikacji 2023 i 2024 oraz ich wartości skrótów TBS, jeśli zasady zawierają reguły ufające bieżącym urzędom certyfikacji.
Na przykład, jeśli zasady ufają systemowi Windows Production PCA 2011 przy użyciu następującej reguły, zaufanie dla nowego produkcyjnego PCA systemu Windows 2023 zostanie automatycznie wywnioskowane. Elementy osoby podpisującej, takie jak CertEKU, CertPublisher, FileAttribRef i CertOemId, są zachowywane w logice wnioskowania.
Przykłady reguł osoby podpisującej
Reguła bieżącej osoby podpisującej
| <Identyfikator sygnatariusza="ID_SIGNER_WINDOWS_CA_1" name="Microsoft Windows Production PCA 2011"CertRoot>< type="TBS" value="4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146" /><CertEKU ID="ID_EKU_WINDOWS" /></signer> |
|---|
Reguła osoby podpisującej
| <Identyfikator sygnatariusza="ID_SIGNER_WINDOWS_CA_2" Name=" Windows Production PCA 2023 "><CertRoot Type="TBS" Value=" 34EEC0CD7321C9C20309BEF31164D92B88E892341DE67FE2684D9E7FDA09C9E46B05498FB38E29B421E845FEB8C7A4CD " /<>CertEKU ID="ID_EKU_WINDOWS" /></Signer> |
|---|
Nowa logika obsługi rozszerza się również na reguły odrzucania osób podpisujących w zasadach. Jeśli więc odrzucono składniki podpisane przez istniejące urzędy certyfikacji, te składniki będą nadal odrzucane po podpisaniu ich w nowych urzędach certyfikacji 2023 i 2024.
Zgodność
Firma Microsoft obsłużyła logikę obsługi skrótów TBS dla wygasających urzędów certyfikacji na wszystkich obsługiwanych platformach, na których jest obsługiwana kontrola aplikacji zgodnie z poniższą tabelą.
| System operacyjny Windows | Początek tej wersji i późniejszych wersji |
|---|---|
| Windows Server 2025 | 13 maja 2025 r. – KB5058411 (kompilacja systemu operacyjnego 26100.4061) |
| Windows 11 w wersji 24H2 | 25 kwietnia 2025 r. — KB5055627(kompilacja systemu operacyjnego 26100.3915) — wersja zapoznawcza |
| Windows Server, wersja 23H2 | 13 maja 2025 r. — KB5058384 (kompilacja systemu operacyjnego 25398.1611) |
| Windows 11, wersja 22H2 i 23H2 | 22 kwietnia 2025 r. — KB5055629 (system operacyjny 22621.5262 i 22631.5262), wersja zapoznawcza |
| Windows Server 2022 | 13 maja 2025 r. — KB5058385 (kompilacja systemu operacyjnego 20348.3692) |
| Windows 10, wersje 21H2 i 22H2 | 13 maja 2025 r. — KB5058379 (kompilacje systemu operacyjnego 19044.5854 i 19045.5854) |
| Windows 10 w wersji 1809 i Windows Server 2019 | 13 maja 2025 r. — KB5058392 (kompilacja systemu operacyjnego 17763.7314) |
| Windows 10, wersja 1607 i Windows Server 2016 | 13 maja 2025 r. — KB5058383 (kompilacja systemu operacyjnego 14393.8066) |
Jak mogę zrezygnować
Jeśli chcesz zrezygnować z logiki wnioskowania skrótów TBS wykonywanej przez Kontrolę aplikacji, ustaw następującą flagę w zasadach: Disabled:Default Windows Certificate Remapping