Pôvodný dátum publikovania: 20. augusta 2026
ID KB: 5125813
Dôležité
Vývojári aplikácií a správcovia IT vyžadujú akciu
Úvod
Spoločnosť Microsoft aktualizuje infraštruktúru podpisovania kódu vo Windowse s cieľom nahradiť certifikáty s uplynutou platnosťou, posilniť algoritmy podpisovania a pripraviť sa na postkvantovú kryptografiu (PQC). Niektoré aplikácie môžu zlyhať, keď sa zmenia certifikáty alebo algoritmy na podpisovanie spoločnosti Microsoft, aj keď Windows považuje podpísaný súbor za platný a dôveryhodný. Vývojári a dodávatelia softvéru by mali skontrolovať všetky operácie overovania certifikátov a podpisov, aby sa uistili, že podporujú kryptografickú agilitu a sú pripravení na plánované a budúce zmeny certifikačnej autority. Aplikácie nesmú závisieť od konkrétneho názvu certifikátu, kryptografického odtlačku, vydavateľa, veľkosti kľúča alebo algoritmu digestu a hodnoty hash. Namiesto toho delegujte tieto kontroly na schválené rozhrania API, aby ste zabezpečili, že zostanú nezávislé od konvencií pomenovania a výberu algoritmov.
Čo sa mení
- Nahradenie produkčnej certifikačnej autority Windowsu: Platnosť Microsoft Windows Production PCA 2011 vyprší 19. októbra 2026. Spoločnosť Microsoft v najbližších týždňoch zmení podpisovanie Windowsu na náhradnú certifikačnú autoritu s rovnakými vlastnosťami zabezpečenia. Aplikácie, ktoré sa pripnú k starej certifikačnej autorite, môžu počas tohto prechodu zlyhať.
- Silnejšie podpisovanie: S cieľom podporiť vyvíjajúce sa požiadavky na zabezpečenie a dodržiavanie súladu sa Windows posúva smerom k silnejším konfiguráciám vrátane RSA-3072 a SHA-384 do konca roka 2026. Aplikácie, ktoré naprogramovali očakávané konfigurácie podpisovania, môžu počas tohto prechodu zlyhať.
- Prechod na PQC: Podpisovanie Windowsu sa v roku 2027 prepne na post-kvantové podpisovanie. Vyvíjajúce sa prostredie PQC a požiadaviek zákazníkov stavia kryptografickú agilitu do popredia tohto prechodu. Budúce podpisovanie môže používať nové algoritmy a hybridné konštrukcie podpisu a môže si vyžadovať rýchle zmeny, keď sa prispôsobujeme post-kvantovému svetu.
Riziko kompatibility
Pri testovaní spoločnosťou Microsoft sa zistili aplikácie, ktoré zlyhávajú po zmene certifikátov alebo algoritmov Windowsu. Akcie, ktoré môžu viesť k zlyhaniam kompatibility, zahŕňajú:
- Porovnanie reťazcov certifikátov medzi dvomi alebo viacerými podpísanými binárnymi súbormi a založenie rozhodnutí o dôveryhodnosti na základe toho, či sa zhodujú.
- Pripnutie predmetov certifikátov Microsoft, vydavateľov, odtlačkov prstov, sériových čísel alebo sprostredkujúcich certifikačných úradov.
- Vyžadovanie, aby podpisy používali SHA-256, RSA-2048 alebo iný konkrétny algoritmus.
- Priama analýza podpisov Authenticode alebo certifikačných reťazcov namiesto používania rozhraní API dôveryhodnosti systému Windows.
- Použitie súkromného ukladacieho priestoru dôveryhodnosti, ktorý nie je aktualizovaný pre triedenie certifikátov spoločnosti Microsoft.
Tieto metódy môžu odmietnuť súbor, ktorý systém Windows správne overí ako dôveryhodný. Obmedzujú tiež schopnosť spoločnosti Microsoft vymeniť certifikáty, posilniť kryptografiu a prejsť na PQC.
Pokyny pre vývojárov aplikácií
- Overte dôveryhodnosť, nie identitu certifikátu. Určite, či Windows dôveruje podpisu. Nevyžadujte konkrétnu certifikačnú autoritu spoločnosti Microsoft, názov certifikátu alebo odtlačok prsta, pokiaľ to spoločnosť Microsoft nezdokumentuje ako podporovanú zmluvu. Nevynucujte zhodu reťazcov certifikátov naprieč podpísanými binárnymi súbormi.
- Používajte podporované rozhrania API systému Windows. Použite WinVerifyTrust alebo príslušné reťazové rozhrania CryptoAPI/Crypt32 a rozhrania politiky. Nepoužívajte vlastné overovanie Authenticode a overovanie reťazca certifikátov.
- Zostaňte nezávislí od algoritmu. Nepredpokladajte, že dôveryhodné podpisy spoločnosti Microsoft vždy používajú párovanie s pevným algoritmom, napríklad RSA-2048 + SHA-256.
- Testovať zmeny certifikátov. Overte aplikácie podľa hierarchií náhradných certifikátov Microsoft a silnejších konfigurácií podpisovania.
- Skontrolujte súkromné ukladacie priestory dôveryhodných fondov. Ak váš produkt používa svoj vlastný ukladací priestor dôveryhodnosti, zaveďte proces na rozpoznávanie legitímnych rotácií certifikátov spoločnosti Microsoft.
Pokyny pre správcov IT
Opýtajte sa kritických dodávateľov softvéru, či ich aplikácie
- Používajte podporované rozhrania API dôveryhodnosti systému Windows.
- Pripnite certifikáty alebo certifikačné autority Microsoft.
- Boli testované s náhradnými podpisovými certifikátmi Microsoft a podpismi SHA-384.
- Udržiavajte súkromný ukladací priestor dôveryhodných údajov a vykonajte proces aktualizácie certifikátu.
- Plánujte budúce zmeny podpisovania PQC.
Časová os
- Teraz: Platnosť Microsoft Windows Production PCA 2011 uplynie 19. októbra 2026. Prebieha výmena za novú PCA. Nasledujúca ukážka vydania je podpísaná s novým PCA (Microsoft Windows Production PCA 2026): Zostava verzie preview 26100.9539/26200.9539.
- Neskôr v roku 2026: Podpisovanie Windowsu Production prechádza na silnejšie konfigurácie.
- 2027: Podpisovanie Windowsu Production sa predvolene prepne na PQC s úvahami o platformách nižšej úrovne a starších systémoch.
- Prebieha: Budeme pokračovať v rotácii certifikátov a aktualizáciách algoritmov spolu s vývojom požiadaviek zabezpečenia a zákazníkov.
Výzva na akciu
Skontrolujte si logiku overenia. Aplikácie by sa mali spoliehať na rozhodnutia o dôveryhodnosti Windowsu – nie na pevné predpoklady týkajúce sa certifikátov Microsoft alebo kryptografických algoritmov. Je to potrebné na zachovanie kompatibility počas prechodu certifikátu v roku 2026 a budúcich zmien podpisovania PQC.
Zoznam zmien
| Zmeniť dátum | Popis zmeny |
|---|---|
| Septembra 10, 2026 | Aktualizovaná časová os o dostupnosť verzie Preview. |