Ursprungligt publiceringsdatum: 20 augusti 2026
KB-ID: 5125813
Viktigt!
Åtgärd krävs för programutvecklare och IT-administratörer
Introduktion
Microsoft uppdaterar infrastrukturen för Windows-kodsignering för att ersätta utgående certifikat (CAs), stärka signeringsalgoritmerna och förbereda för postkvantkryptografi (PQC). Vissa program kan misslyckas när Microsofts signeringscertifikat eller algoritmer ändras, även om Windows anser att den signerade filen är giltig och betrodd. Utvecklare och programvaruleverantörer bör granska alla certifikat- och signaturvalideringsåtgärder för att säkerställa att de stöder kryptografisk flexibilitet och är förberedda för planerade och framtida CA-ändringar. Program får inte vara beroende av ett specifikt certifikatnamn, tumavtryck, utfärdare, nyckelstorlek eller hash-algoritm. Delegera i stället dessa inspektioner till godkända API:er för att säkerställa att de förblir agnostiska när det gäller namnkonventioner och val av algoritmer.
Vad är det som förändras?
- Ersättning för Windows Production CA: Microsoft Windows Production PCA 2011 upphör att gälla den 19 oktober 2026. Microsoft kommer att överföra Windows-signering till en ersättningscertifikatutfärdare med samma säkerhetsegenskaper under de kommande veckorna. Program som fästs på den gamla certifikatutfärdaren kan misslyckas under den här övergången.
- Starkare signering: För att stödja föränderliga säkerhets- och efterlevnadskrav går Windows mot starkare konfigurationer, inklusive RSA-3072 och SHA-384, i slutet av 2026. Program som hårdkodar förväntade signeringskonfigurationer kan misslyckas under den här övergången.
- PQC-övergång: Windows-signering övergår till signering efter kvant 2027. Det föränderliga landskapet för PQC och kundkrav placerar kryptografisk smidighet i centrum i denna övergång. Framtida signering kan använda nya algoritmer och hybridsignaturkonstruktioner och kan kräva snabba förändringar när vi anpassar oss till den postkvantala världen.
Kompatibilitetsrisk
Microsofts tester har identifierat program som inte fungerar efter att Windows-signeringscertifikat eller algoritmer har ändrats. Åtgärder som kan leda till kompatibilitetsfel är:
- Jämföra certifikatkedjor mellan två eller flera signerade binärfiler och basera förtroendebeslut på huruvida de matchar.
- Fästa ämnen, utfärdare, tumavtryck, serienummer eller mellanliggande certifikatutfärdare för Microsoft-certifikat.
- Kräv att signaturer använder SHA-256, RSA-2048 eller en annan specifik algoritm.
- Tolka Authenticode-signaturer eller certifikatkedjor direkt i stället för att använda Windows-API:er.
- Använda ett privat förtroendearkiv som inte har uppdaterats för Microsoft-certifikatrotationer.
Dessa metoder kan avvisa en fil som Windows korrekt verifierar som betrodd. De begränsar också Microsofts möjlighet att rotera certifikat, stärka kryptografi och övergå till PQC.
Vägledning för programutvecklare
- Verifiera förtroende, inte certifikatidentitet. Kontrollera om Windows litar på signaturen. Kräv inte en specifik Microsoft-certifikatutfärdare, certifikatnamn eller tumavtryck om inte Microsoft dokumenterar det som ett kontrakt som stöds. Framtvinga inte certifikatkedjor som matchar mellan signerade binärfiler.
- Använd Windows-API:er som stöds. Använd WinVerifyTrust eller lämpliga CryptoAPI/Crypt32-kedje- och principgränssnitt. Undvik anpassad validering av Authenticode och certifikatkedjan.
- Förbli algoritm-agnostisk. Förutsätt inte att betrodda Microsoft-signaturer alltid använder en fast algoritmparning som RSA-2048 + SHA-256.
- Testa certifikatändringar. Verifiera program mot ersättande Microsoft-certifikathierarkier och starkare signeringskonfigurationer.
- Granska privata förtroendebutiker. Om din produkt har ett eget förtroendearkiv upprättar du en process för att känna igen legitima Microsoft-certifikatrotationer.
Vägledning för IT-administratörer
Fråga kritiska programvaruleverantörer om deras program,
- Använd förtroende-API:er för Windows som stöds.
- Fästa Microsoft-certifikat eller certifikatutfärdare.
- Har testats med ersättningscertifikat för Microsoft-signering och SHA-384-signaturer.
- Ha ett privat förtroendearkiv och ha en certifikatuppdateringsprocess.
- Ha en plan för framtida PQC-signeringsändringar.
Tidslinje
- Nu: Microsoft Windows Production PCA 2011 upphör att gälla den 19 oktober 2026. Byte med en ny PCA är på gång. Följande förhandsversion är signerad med den nya PCA (Microsoft Windows Production PCA 2026): Förhandsversion 26100.9539/26200.9539.
- Senare under 2026: Windows Production-signering övergår till starkare konfigurationer.
- 2027: Windows Production-signering övergår till PQC som standard, med överväganden för äldre plattformar och äldre system.
- Pågående: Vi fortsätter med certifikatrotationer och algoritmuppdateringar i takt med att säkerhetskraven och kundkraven utvecklas.
Åtgärd krävs
Granska valideringslogiken nu. Program bör förlita sig på förtroendebeslut i Windows – inte fasta antaganden om Microsoft-certifikat eller kryptografiska algoritmer. Detta är nödvändigt för att förbli kompatibelt genom certifikatövergången 2026 och framtida PQC-signeringsändringar.
Ändringslogg
| Ändra datum | Beskrivning av ändring |
|---|---|
| Den 10 september 2026 | Uppdaterad tidslinje med tillgänglig förhandsversion. |