Data pierwotnej publikacji: 20 sierpnia 2026 r.
Identyfikator KB: 5125813
Ważne
Wymagana akcja dla deweloperów aplikacji i administratorów IT
Wprowadzenie
Firma Microsoft aktualizuje infrastrukturę podpisywania kodu systemu Windows, aby zastąpić wygasające certyfikaty (UC), wzmocnić algorytmy podpisywania i przygotować się na kryptografię postkwantową (PQC). Niektóre aplikacje mogą przestać działać, gdy zmienią się certyfikaty podpisywania lub algorytmy firmy Microsoft, nawet jeśli system Windows uzna podpisany plik za prawidłowy i zaufany. Deweloperzy i dostawcy oprogramowania powinni dokonać przeglądu wszystkich operacji weryfikacji certyfikatów i podpisów, aby upewnić się, że obsługują one elastyczność kryptograficzną i są przygotowane na planowane i przyszłe zmiany urzędu certyfikacji. Aplikacje nie mogą być zależne od określonej nazwy certyfikatu, odcisku palca, wystawcy, rozmiaru klucza ani algorytmu szyfrowania/wyznaczania wartości skrótu. Zamiast tego deleguj te inspekcje do zatwierdzonych interfejsów API, aby upewnić się, że pozostają niezależne od konwencji nazewnictwa i wyboru algorytmów.
Co się zmienia
- Zamiennik produkcyjnego urzędu certyfikacji systemu Windows: Microsoft Windows Production PCA 2011 wygasa 19 października 2026 r. W najbliższych tygodniach firma Microsoft przeniesie podpisywanie systemu Windows do zastępczego urzędu certyfikacji z tymi samymi właściwościami zabezpieczeń. Aplikacje, które zostały przypięte do starego urzędu certyfikacji, mogą przestać działać podczas tego przejścia.
- Silniejsze podpisywanie: aby sprostać zmieniającym się wymaganiom w zakresie zabezpieczeń i zgodności, system Windows zmierza w kierunku silniejszych konfiguracji, w tym RSA-3072 i SHA-384, do końca 2026 roku. Aplikacje, które oczekują podpisywania konfiguracji, mogą zakończyć się niepowodzeniem podczas tego przejścia.
- Przejście PQC: podpisywanie Windows przejdzie na podpisywanie postkwantowe w 2027 r. Zmieniający się krajobraz PQC i wymagania klientów stawiają sprawność kryptograficzną na pierwszym miejscu w tym przejściu. Podpisywanie w przyszłości może wykorzystywać nowe algorytmy i hybrydowe konstrukcje podpisów i może wymagać szybkich zmian w miarę dostosowywania się do świata postkwantowego.
Ryzyko zgodności
Testy firmy Microsoft zidentyfikowały aplikacje, które nie działają po zmianie certyfikatów podpisywania systemu Windows lub algorytmów. Akcje, które mogą prowadzić do błędów zgodności, obejmują:
- Porównywanie łańcuchów certyfikatów między co najmniej dwoma podpisanymi plikami binarnymi i podejmowanie decyzji o zaufaniu na podstawie tego, czy są one zgodne.
- Przypinanie tematów certyfikatów firmy Microsoft, wystawców, odcisków palców, numerów seryjnych lub pośrednich urzędów certyfikacji.
- Wymaganie, aby podpisy używały algorytmu SHA-256, RSA-2048 lub innego określonego algorytmu.
- Analizowanie podpisów Authenticode lub łańcuchów certyfikatów bezpośrednio zamiast używania interfejsów API zaufania systemu Windows.
- Używanie prywatnego magazynu zaufania, który nie jest aktualizowany na potrzeby rotacji certyfikatów firmy Microsoft.
Te metody mogą spowodować odrzucenie pliku, który system Windows poprawnie sprawdza poprawność jako zaufany. Ograniczają one również możliwość rotacji certyfikatów firmy Microsoft, wzmocnienia kryptografii i przejścia na środowisko PQC.
Wskazówki dla deweloperów aplikacji
- Sprawdzaj poprawność zaufania, a nie tożsamości certyfikatu. Określ, czy system Windows ufa podpisowi. Nie wymagają określonego urzędu certyfikacji Microsoft, nazwy certyfikatu ani odcisku palca, chyba że firma Microsoft udokumentowała to jako obsługiwaną umowę. Nie wymuszaj dopasowania łańcuchów certyfikatów w podpisanych plikach binarnych.
- Korzystanie z obsługiwanych interfejsów API systemu Windows. Użyj WinVerifyTrust lub odpowiednich interfejsów łańcucha i zasad CryptoAPI/Crypt32. Unikaj niestandardowego uwierzytelniania i sprawdzania poprawności łańcucha certyfikatów.
- Pozostań niezależny od algorytmu. Nie należy zakładać, że zaufane podpisy Microsoft zawsze używają ustalonego parowania algorytmów, takich jak RSA-2048 + SHA-256.
- Zmiany w świadectwie testu. Weryfikuj aplikacje pod kątem zastępczych hierarchii certyfikatów firmy Microsoft i silniejszych konfiguracji podpisywania.
- Przejrzyj prywatne zaufane magazyny. Jeśli produkt obsługuje własny magazyn zaufania, ustanów proces rozpoznawania prawidłowych rotacji certyfikatów firmy Microsoft.
Wskazówki dla administratorów IT
Zapytaj kluczowych dostawców oprogramowania, czy ich aplikacje,
- Używaj obsługiwanych zaufanych interfejsów API systemu Windows.
- Przypnij certyfikaty lub urzędy certyfikacji Microsoft.
- Zostały przetestowane z zastępczymi certyfikatami podpisywania firmy Microsoft i podpisami SHA-384.
- Utrzymuj prywatny magazyn zaufania i korzystaj z procesu aktualizacji certyfikatów.
- Masz plan przyszłych zmian w podpisywaniu PQC.
Oś czasu
- Teraz: Microsoft Windows Production PCA 2011 wygasa 19 października 2026 r. Trwa wymiana na nowy PCA. Następujący Release Preview jest podpisany nowym PCA (Microsoft Windows Production PCA 2026): Release Preview Build 26100.9539/26200.9539.
- Później w 2026 r.: Podpisywanie produkcyjne systemu Windows przechodzi do silniejszych konfiguracji.
- 2027: Podpisywanie produkcji systemu Windows domyślnie przechodzi na środowisko PQC, z uwzględnieniem platform niższego poziomu i starszych systemów.
- W toku: Będziemy kontynuować rotację certyfikatów i aktualizacje algorytmów w miarę rozwoju wymagań bezpieczeństwa i wymagań klientów.
Wezwanie do działania
Przejrzyj teraz logikę sprawdzania poprawności. Aplikacje powinny opierać się na decyzjach dotyczących zaufania systemu Windows, a nie na ustalonych założeniach dotyczących certyfikatów firmy Microsoft lub algorytmów kryptograficznych. Jest to konieczne, aby zachować zgodność podczas przejścia na certyfikat w 2026 r. i przyszłych zmian podpisywania PQC.
Dziennik zmian
| Zmień datę | Opis zmiany |
|---|---|
| 10 września 2026 r | Zaktualizowano oś czasu o dostępność wersji zapoznawczej. |