การสนับสนุน Windows สําหรับตรรกะการจัดการ CA ใหม่ของการควบคุมแอปพลิเคชันสําหรับธุรกิจ

บทนำ

บทความนี้สรุปการควบคุมแอปพลิเคชันสําหรับธุรกิจ (เดิมเรียกว่า ตรรกะการจัดการแอปพลิเคชัน Windows Defender (WDAC)) สําหรับกฎผู้เซ็นชื่อที่มีการระบุค่าแฮช TBS สําหรับผู้ให้บริการออกใบรับรอง (CA) ระดับกลางของ Microsoft

Microsoft Issuing CAs

คอมโพเนนต์ของ Microsoft และ Windows ได้รับการเซ็นชื่อด้วยใบรับรองใบไม้ซึ่งส่วนใหญ่ออกให้โดย MICROSOFT Issuing CAs หกราย ตั้งแต่เดือนกรกฎาคม 2025 CAs ที่ออก 15 ปีเหล่านี้จะเริ่มหมดอายุตามกําหนดการต่อไปนี้

121AF4B922A74247EA49DF50DE37609CC1451A1FE06B2CB7E1E079B492BD8195 

90C9669670E75989159E6EEF69625EB6AD17CBA6209ED56F5665D55450A05212

F6F717A43AD9ABDDC8CEFDDE1C505462535E7D1307E630F9544A2D14FE8BF26E

4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146

CEC1AFD0E310C55C1DCC601AB8E172917706AA32FB5EAF826813547FDF02DD46

C64CE3455898F871D11C14DA412AAC58FA2022D4213D8AC05F8DD6909B2FB0FCC76C19A1913DF5BC0CB1662229AD15D1

84A5BD1CCB7CD6509FF7214F4BA27D51CCF72BE2AC4AA7F0E97BC066FC804EBB635E8305D7D1108F89B4CF7BB2CAFED9

B52C1E712CF71D080614DDF95F8258BE0738C0722BD8A55F0AF4361BACEE35B6D73DCACB1B9DE10B5FD28508A3A50EAE

34EEC0CD7321C9C20309BEF31164D92B88E892341DE67FE2684D9E7FDA09C9E46B05498FB38E29B421E845FEB8C7A4CD

FFFA64ABBB400583B3F812A196A8AF7ABF329D4882F26221A142D734620B759D1E168537CC6DA74807C2E20C70DA7B78

ในขณะที่แนะนํา นโยบายการควบคุมแอปพลิเคชันที่มีกฎผู้เซ็นชื่อที่มีค่าแฮช TBS ที่แสดงอยู่ในตารางข้างต้นไม่จําเป็นต้องได้รับการอัปเดตเพื่อให้เชื่อถือคอมโพเนนต์ที่เซ็นชื่อโดย 2023 และ 2024 CAs ใหม่ การควบคุมแอปพลิเคชันจะสรุปความเชื่อถือของ 2023 และ 2024 CAs ใหม่ และค่าแฮช TBS โดยอัตโนมัติ ถ้านโยบายของคุณมีกฎที่เชื่อถือ CAs ปัจจุบัน

ตัวอย่างเช่น หากนโยบายของคุณเชื่อถือพีซี Windows Production PCA 2011 โดยใช้กฎต่อไปนี้ ความเชื่อถือสําหรับ Windows Production PCA 2023 ใหม่จะถูกอนุมานโดยอัตโนมัติ องค์ประกอบผู้เซ็นชื่อ เช่น CertEKU, CertPublisher, FileAttribRef และ CertOemId จะถูกเก็บรักษาไว้ในตรรกะการอนุมาน 

<Signer ID="ID_SIGNER_WINDOWS_CA_1" Name="Microsoft Windows Production PCA 2011"> 

  <CertRoot Type="TBS" Value="4E80BE107C860DE896384B3EFF50504DC2D76AC7151DF3102A4450637A032146" /> 

  <CertEKU ID="ID_EKU_WINDOWS" /> 

</Signer> 

<Signer ID="ID_SIGNER_WINDOWS_CA_2" Name=" Windows Production PCA 2023 "> 

  <CertRoot Type="TBS" Value=" 34EEC0CD7321C9C20309BEF31164D92B88E892341DE67FE2684D9E7FDA09C9E46B05498FB38E29B421E845FEB8C7A4CD " /> 

  <CertEKU ID="ID_EKU_WINDOWS" />     

</Signer> 

<Signer ID="ID_SIGNER_DENY_FOO_1" Name="Microsoft Code Signing PCA 2011”> 

  <CertRoot Type="TBS" Value=" F6F717A43AD9ABDDC8CEFDDE1C505462535E7D1307E630F9544A2D14FE8BF26E" /> 

  <CertPublisher Value="Microsoft Corporation" /> 

  <FileAttribRef RuleID="ID_FILEATTRIB_DENY_FOO" /> 

</Signer>

<Signer ID="ID_SIGNER_DENY_FOO_2" Name = “Microsoft Code Signing PCA 2024”> 

  <CertRoot Type="TBS" Value=" B52C1E712CF71D080614DDF95F8258BE0738C0722BD8A55F0AF4361BACEE35B6D73DCACB1B9DE10B5FD28508A3A50EAE" /> 

  <CertPublisher Value="Microsoft Corporation" /> 

  <FileAttribRef RuleID="ID_FILEATTRIB_DENY_FOO" /> 

</Signer>

ความเข้ากันได้

Microsoft ได้ให้บริการตรรกะการจัดการแฮช TBS สําหรับ CAs ที่หมดอายุไปยังแพลตฟอร์มที่ได้รับการสนับสนุนทั้งหมด ซึ่งการควบคุมแอปพลิเคชันได้รับการสนับสนุนตามตารางต่อไปนี้

วิธีปฏิเสธเข้าร่วม

หากคุณต้องการเลือกให้ระบบของคุณออกจากตรรกะการอนุมานแฮชของ TBS ที่ดําเนินการโดยการควบคุมแอปพลิเคชัน ให้ตั้งค่าสถานะต่อไปนี้ในนโยบาย: ปิดใช้งาน: ใบรับรอง Windows เริ่มต้น

​​​​​​​