Ngày xuất bản ban đầu: 20 tháng 8 năm 2026
ID KB: 5125813
Quan trọng
Hành động bắt buộc đối với nhà phát triển ứng dụng và người quản trị CNTT
Giới thiệu
Microsoft đang cập nhật cơ sở hạ tầng ký mã Windows để thay thế chứng chỉ (CA) sắp hết hạn, tăng cường thuật toán ký và chuẩn bị cho việc mã hóa hậu lượng tử (PQC). Một số ứng dụng có thể bị lỗi khi chứng chỉ ký Microsoft hoặc thuật toán thay đổi, ngay cả khi Windows coi tệp đã ký hợp lệ và đáng tin cậy. Các nhà phát triển và nhà cung cấp phần mềm nên xem lại tất cả các hoạt động xác thực chứng chỉ và chữ ký để đảm bảo họ hỗ trợ sự linh hoạt về mã hóa và được chuẩn bị cho các thay đổi CA đã được lên kế hoạch và trong tương lai. Các ứng dụng không được phụ thuộc vào tên chứng chỉ cụ thể, dấu vân tay, người phát hành, kích cỡ khóa hoặc thuật toán tóm tắt/hàm băm. Thay vào đó, hãy ủy quyền các cuộc kiểm tra này cho các API đã được phê duyệt để đảm bảo chúng vẫn không khả tri với quy ước đặt tên và lựa chọn thuật toán.
Có gì thay đổi?
- Windows Production CA thay thế: Microsoft Windows Production PCA 2011 hết hạn vào ngày 19 tháng 10 năm 2026. Microsoft sẽ chuyển đăng nhập Windows sang một CA thay thế có thuộc tính bảo mật tương tự trong những tuần sắp tới. Applications that ghim vào CA cũ có thể không thành công trong quá trình chuyển đổi này.
- Ký hợp đồng mạnh hơn: Để hỗ trợ các yêu cầu tuân thủ và bảo mật ngày càng phát triển, Windows đang tiến tới các cấu hình mạnh mẽ hơn, bao gồm RSA-3072 và SHA-384, vào cuối năm 2026. Các ứng dụng đặt mã cứng cấu hình ký dự kiến có thể không thành công trong quá trình chuyển đổi này.
- Quá trình chuyển đổi PQC: Ký Windows sẽ chuyển sang ký hiệu sau lượng tử vào năm 2027. Bối cảnh phát triển của PQC và yêu cầu của khách hàng đặt sự nhanh nhẹn của mật mã ở vị trí hàng đầu và trung tâm trong quá trình chuyển đổi này. Ký trong tương lai có thể sử dụng các thuật toán mới và cấu trúc chữ ký kết hợp và có thể đòi hỏi những thay đổi nhanh chóng khi chúng ta thích nghi với thế giới hậu lượng tử.
Rủi ro tương thích
Thử nghiệm Microsoft đã xác định các ứng dụng bị lỗi sau khi chứng chỉ ký Windows hoặc thuật toán thay đổi. Các hành động có thể dẫn đến lỗi tương thích bao gồm:
- So sánh chuỗi chứng chỉ giữa hai hoặc nhiều nhị phân đã ký và dựa trên các quyết định tin cậy dựa trên việc chúng có khớp hay không.
- Ghim đối tượng chứng chỉ Microsoft, người cấp, dấu vân tay, số sê-ri hoặc CA trung gian.
- Yêu cầu chữ ký sử dụng SHA-256, RSA-2048 hoặc một thuật toán cụ thể khác.
- Phân tích trực tiếp các chữ ký hoặc chuỗi chứng chỉ Authenticode thay vì sử dụng Windows Trust API.
- Sử dụng kho tin cậy riêng tư không được cập nhật cho vòng xoay chứng chỉ Microsoft.
Các phương pháp này có thể từ chối một tệp mà Windows xác thực chính xác là đáng tin cậy. Chúng cũng hạn chế khả năng của Microsoft trong việc xoay vòng chứng chỉ, tăng cường mật mã và chuyển sang PQC.
Hướng dẫn dành cho nhà phát triển ứng dụng
- Xác thực độ tin cậy, không phải căn cước chứng chỉ. Xác định xem Windows có tin cậy chữ ký hay không. Không yêu cầu một CA Microsoft, tên chứng chỉ hoặc dấu vân tay cụ thể trừ khi Microsoft ghi lại nó dưới dạng một hợp đồng được hỗ trợ. Không bắt buộc chuỗi chứng chỉ khớp giữa các nhị phân đã ký.
- Sử dụng các API Windows được hỗ trợ. Sử dụng WinVerifyTrust hoặc chuỗi CryptoAPI/Crypt32 và giao diện chính sách thích hợp. Tránh xác thực Authenticode tùy chỉnh và xác thực chuỗi chứng chỉ.
- Duy trì tùy chọn không biết về thuật toán. Đừng cho rằng các chữ ký Microsoft đáng tin cậy luôn sử dụng một cặp thuật toán cố định như RSA-2048 + SHA-256.
- Kiểm tra thay đổi chứng chỉ. Xác thực ứng dụng dựa trên cấu trúc phân cấp chứng chỉ Microsoft thay thế và cấu hình ký mạnh hơn.
- Xem lại các kho tin cậy riêng tư. Nếu sản phẩm của bạn duy trì kho tin cậy riêng, hãy thiết lập một quy trình để nhận dạng các vòng quay chứng chỉ hợp pháp của Microsoft.
Hướng dẫn dành cho người quản trị CNTT
Hỏi các nhà cung cấp phần mềm quan trọng xem các ứng dụng của họ,
- Sử dụng các API tin cậy của Windows được hỗ trợ.
- Ghim chứng chỉ Microsoft hoặc cơ quan cấp chứng chỉ.
- Đã được thử nghiệm với chứng chỉ chữ ký Microsoft thay thế và chữ ký SHA-384.
- Duy trì kho tin cậy riêng tư và có quy trình cập nhật chứng chỉ.
- Có kế hoạch cho các thay đổi ký PQC trong tương lai.
Timeline
- Giờ đây: PC sản xuất Microsoft Windows 2011 sẽ hết hạn vào ngày 19 tháng 10 năm 2026. Đang tiến hành việc thay thế bằng PCA mới. Bản xem trước bản phát hành sau đây được ký với PCA mới (Microsoft Windows Production PCA 2026): Bản dựng Xem trước Phát hành 26100.9539/26200.9539.
- Cuối năm 2026: Ký Windows Production chuyển sang cấu hình mạnh hơn.
- 2027: Việc ký sản xuất Windows chuyển sang PQC theo mặc định, có những điều cần cân nhắc đối với nền tảng cấp thấp và hệ thống cũ.
- Đang tiếp tục: Chúng tôi sẽ tiếp tục luân phiên chứng chỉ và cập nhật thuật toán khi các yêu cầu bảo mật và yêu cầu của khách hàng ngày càng phát triển.
Gọi hành động
Xem lại lô-gic xác thực của bạn ngay bây giờ. Các ứng dụng nên dựa trên các quyết định tin cậy của Windows—chứ không phải các giả định cố định về chứng chỉ Microsoft hoặc thuật toán mã hóa. Điều này là cần thiết để duy trì tương thích thông qua quá trình chuyển đổi chứng chỉ năm 2026 và các thay đổi ký PQC trong tương lai.
Nhật ký thay đổi
| Thay đổi ngày | Thay đổi mô tả |
|---|---|
| Ngày 10 tháng 9 năm 2026 | Đã cập nhật dòng thời gian với tình trạng sẵn dùng Xem trước Phát hành. |