原始發佈日期：2026 年 8 月 20 日
KB 識別碼：5125813
重要
應用程式開發人員和 IT 系統管理員必須執行的動作
簡介
Microsoft正在更新 Windows 程式碼簽署基礎結構，以取代即將到期的憑證 (CA) 、強化簽署演算法，並為後量子密碼編譯 (PQC) 做好準備。 當 Microsoft 簽署憑證或演算法變更時，有些應用程式可能會失敗，即使 Windows 認為已簽署的檔案有效且受信任。 開發人員和軟體廠商應檢閱所有憑證和簽章驗證作業，以確保它們支援密碼編譯敏捷性，並為計畫和未來的 CA 變更做好準備。 應用程式不得依賴特定的憑證名稱、指紋、簽發者、金鑰大小或摘要/雜湊演算法。 相反，請將這些檢查委派給已核准的 API，以確保它們與命名慣例和演算法選擇無關。
變更的內容有哪些
- Windows Production CA 取代： Microsoft Windows Production PCA 2011 將於 2026 年 10 月 19 日到期。 Microsoft 會在接下來的幾週內，將 Windows 簽署轉換為具有相同安全性屬性的替代 CA。 在此轉換期間，釘選到舊 CA 的應用程式可能會失敗。
- 更強的簽署：為了支援不斷演進的安全性與合規性需求，Windows 正在朝著更強的設定邁進，包括 RSA-3072 和 SHA-384，預計在 2026 年底前推出。 在此轉換期間，硬式編碼預期簽署設定的應用程式可能會失敗。
- PQC 轉換：Windows 簽署將在 2027 年轉換至後量子簽署。 PQC 不斷變化的格局和客戶需求將加密敏捷性置於這一轉變的前沿和中心。 未來的簽名可能會使用新的算法和混合簽名結構，並且在我們適應後量子世界時可能需要快速更改。
相容性風險
Microsoft 測試已識別在 Windows 簽署憑證或演算法變更後失敗的應用程式。 可能導致相容性失敗的動作包括：
- 比較兩個或多個已簽署二進位檔案之間的憑證鏈結，並根據它們是否相符來做出信任決策。
- 釘選 Microsoft 憑證主體、發照者、指紋、序號或中繼 CA。
- 要求簽章才能使用 SHA-256、RSA-2048 或其他特定演算法。
- 直接剖析 Authenticode 簽章或憑證鏈結，而非使用 Windows 信任 API。
- 使用未針對 Microsoft 憑證輪替更新的私人信任存放區。
這些方法可以拒絕 Windows 正確驗證為信任的檔案。 它們也會限制 Microsoft 輪換憑證、加強密碼編譯，以及轉換至 PQC 的能力。
應用程式開發人員指引
- 驗證信任，而非憑證身分識別。 判斷 Windows 是否信任簽章。 不需要特定的 Microsoft CA、憑證名稱或指紋，除非 Microsoft 將其記錄為支援的合約。 不要在已簽署的二進位檔之間強制憑證鏈結比對。
- 使用支援的 Windows API。 使用 WinVerifyTrust 或適當的 CryptoAPI/Crypt32 鏈結和原則介面。 避免自訂 Authenticode 和憑證鏈驗證。
- 與演算法無關。 請勿假設信任的 Microsoft 簽章一律使用固定的演算法配對，例如 RSA-2048 + SHA-256。
- 測試憑證變更。 根據取代的 Microsoft 憑證階層和更強的簽署設定，驗證應用程式。
- 檢閱私人信任存放區。 如果您的產品維護自己的信任存放區，請建立程式以辨識合法的 Microsoft 憑證輪替。
IT 系統管理員指南
詢問重要軟體廠商，其應用程式、
- 使用支援的 Windows 信任 API。
- 釘選 Microsoft 憑證或憑證授權單位。
- 已使用替代 Microsoft 簽署憑證和 SHA-384 簽章進行測試。
- 維護私人信任存放區，並擁有憑證更新程序。
- 為未來的 PQC 簽署變更制定計劃。
時間表
- 現在： Microsoft Windows Production PCA 2011 將於 2026 年 10 月 19 日到期。 正在以新的 PCA 取代工作。 下列發行預覽是使用新 PCA (Microsoft Windows Production PCA 2026) ： 發行預覽組建 26100.9539/26200.9539 簽署。
- 2026 年下半年： Windows 生產環境簽署會轉換為更強的設定。
- 2027 年：Windows 生產環境簽署預設會轉換為 PQC，同時考慮下層平台和舊版系統。
- 持續中： 我們會隨著安全性需求和客戶需求的演進，持續憑證輪替和演算法更新。
行動信號
立即檢閱驗證邏輯。 應用程式應該仰賴 Windows 信任決策，而不是關於 Microsoft 憑證或密碼編譯演算法的固定假設。 這對於在 2026 年憑證轉換和未來的 PQC 簽署變更中保持相容是必要的。
變更記錄
| 變更日期 | 變更描述 |
|---|---|
| 2026 年 9 月 10 日 | 更新了發行預覽可用性的時間表。 |