İlk yayımlama tarihi: 20 Ağustos 2026
KB Kimliği: 5125813
Önemli
Uygulama geliştiricileri ve BT yöneticileri için gereken eylem
Giriş
Microsoft, süresi dolan sertifikaları (CA) değiştirmek, imzalama algoritmalarını güçlendirmek ve kuantum sonrası şifrelemeye (PQC) hazırlanmak için Windows kod imzalama altyapısını güncelleştiriyor. Windows imzalanan dosyayı geçerli ve güvenilir olarak kabul etse bile, Microsoft imzalama sertifikaları veya algoritmaları değiştiğinde bazı uygulamalar başarısız olabilir. Geliştiriciler ve yazılım satıcıları, şifreleme çevikliğini desteklediklerinden ve planlanan ve gelecekteki CA değişikliklerine hazır olduklarından emin olmak için tüm sertifika ve imza doğrulama işlemlerini gözden geçirmelidir. Uygulamalar belirli bir sertifika adına, parmak izine, verene, anahtar boyutuna veya özet/karma algoritmasına bağlı olmamalıdır. Bunun yerine, adlandırma kurallarından ve algoritma seçiminden bağımsız kaldıklarından emin olmak için bu incelemeleri onaylı API'lere devredin.
Neler değişiyor?
- Windows Üretim CA'sının değiştirilmesi: Microsoft Windows Üretim PCA 2011'in süresi 19 Ekim 2026'da sona eriyor. Microsoft, Windows imzalama özelliğini önümüzdeki haftalarda aynı güvenlik özelliklerine sahip yeni bir CA'ya geçirecek. Eski CA'ya sabitlenen uygulamalar bu geçiş sırasında başarısız olabilir.
- Daha güçlü imzalama: Windows, gelişen güvenlik ve uyumluluk gereksinimlerini desteklemek için 2026'nın sonuna kadar RSA-3072 ve SHA-384 dahil olmak üzere daha güçlü yapılandırmalara doğru ilerliyor. Beklenen imzalama yapılandırmalarını sabit kodlayan uygulamalar bu geçiş sırasında başarısız olabilir.
- PQC geçişi: Windows imzası, 2027'de kuantum sonrası imzaya geçiş yapacak. Gelişen PQC ortamı ve müşteri gereksinimleri, bu geçişte kriptografik çevikliği ön plana ve merkeze yerleştiriyor. Gelecekteki imzalar, yeni algoritmalar ve hibrit imza yapıları kullanabilir ve kuantum sonrası dünyaya uyum sağlarken hızlı değişiklikler gerektirebilir.
Uyumluluk riski
Microsoft testleri, Windows imzalama sertifikaları veya algoritmaları değiştikten sonra başarısız olan uygulamaları belirledi. Uyumluluk hatalarına neden olabilecek eylemler şunlardır:
- İki veya daha çok imzalı ikili dosya arasındaki sertifika zincirlerini karşılaştırma ve güven kararlarını eşleşip eşleşmediklerine dayandırma.
- Microsoft sertifika konularını, sertifikayı verenleri, parmak izini, seri numaralarını veya ara CA'ları sabitleme.
- SHA-256, RSA-2048 veya başka bir belirli algoritmayı kullanmak için imza gerektiriyor.
- Windows güven API'lerini kullanmak yerine Authenticode imzalarını veya sertifika zincirlerini doğrudan ayrıştırma.
- Microsoft sertifika döndürmeleri için güncelleştirilmemiş özel bir güven deposu kullanma.
Bu yöntemler, Windows'un doğru şekilde güvenilir olduğunu doğruladığı bir dosyayı reddedebilir. Ayrıca Microsoft'un sertifikaları döndürme, şifrelemeyi güçlendirme ve PQC'ye geçiş becerisini de sınırlar.
Uygulama geliştiricileri için kılavuz
- Sertifika kimliğini değil, güveni doğrulayın. Windows'un imzaya güvenip güvenmediğini belirleyin. Microsoft tarafından desteklenen bir sözleşme olarak belgelenmediği sürece belirli bir Microsoft CA'sı, sertifika adı veya parmak izi gerekmez. İmzalı ikili dosyalar arasında sertifika zincirleri eşleşmesini zorunlu kılmayın.
- Desteklenen Windows API'lerini kullanın. WinVerifyTrust veya uygun CryptoAPI/Crypt32 zincir ve ilke arabirimlerini kullanın. Özel Authenticode ve sertifika zinciri doğrulamasından kaçının.
- Algoritmadan bağımsız kalın. Güvenilir Microsoft imzalarının her zaman RSA-2048 + SHA-256 gibi sabit bir algoritma eşleşmesi kullandığını varsaymayın.
- Test sertifikası değişiklikleri. Uygulamaları yeni Microsoft sertifika hiyerarşilerine ve daha güçlü imzalama yapılandırmalarına göre doğrulayın.
- Özel güven mağazalarını inceleyin. Ürününüz kendi güven deposunu koruyorsa, yasal Microsoft sertifika döndürmelerini tanımak için bir işlem oluşturun.
BT yöneticileri için kılavuz
Kritik yazılım satıcılarına uygulamalarının olup olmadığını sorun,
- Desteklenen Windows güven API'lerini kullanın.
- Microsoft sertifikalarını veya sertifika yetkililerini sabitleyin.
- Yedek Microsoft imza sertifikaları ve SHA-384 imzaları ile test edilmiştir.
- Özel bir güven deposu bulundurun ve sertifika güncelleştirme işlemine sahip olun.
- Gelecekteki PQC imzalama değişiklikleri için bir planınız olsun.
Zaman Çizelgesi
- Şimdi: Microsoft Windows Production PCA 2011'in süresi 19 Ekim 2026'da sona eriyor. Yeni bir PCA ile değiştirme işlemi devam ediyor. Aşağıdaki Sürüm Önizlemesi yeni PCA (Microsoft Windows Production PCA 2026) ile imzalanmıştır: Sürüm Önizleme Sürümü 26100.9539/26200.9539.
- 2026'nın ilerleyen dönemlerinde: Windows Üretim imzası daha güçlü yapılandırmalara geçiş yapıyor.
- 2027: Windows Üretim imzası, alt düzey platformlar ve eski sistemler için dikkate alınacak noktalarla varsayılan olarak PQC'ye geçiş yapıyor.
- Sürekli: Güvenlik gereksinimleri ve müşteri gereksinimleri geliştikçe sertifika rotasyonlarına ve algoritma güncelleştirmelerine devam edeceğiz.
Eylem çağrısı
Doğrulama mantığınızı şimdi gözden geçirin. Uygulamalar, Microsoft sertifikaları veya şifreleme algoritmaları hakkındaki sabit varsayımlara değil, Windows güven kararlarına dayanmalıdır. Bu, 2026 sertifika geçişi ve gelecekteki PQC imzalama değişiklikleri boyunca uyumlu kalmak için gereklidir.
Değişiklik günlüğü
| Tarihi değiştir | Açıklamayı değiştir |
|---|---|
| Eylül 10, 2026 | Sürüm Önizlemesi kullanılabilirliği ile güncelleştirilmiş zaman çizelgesi. |