// HEISE ONLINE — CYBERSECURITY
Microsoft nutzt Zertifikatablauf zum Update von Code-Signing-Infrastruktur
Auch die Code-Signing-Zertifikate von Microsoft haben ein Ablaufdatum. Microsoft will die Infrastruktur auf aktuellen Stand bringen.
Nicht nur die Secure-Boot-Zertifikate von Microsoft sind dieses Jahr abgelaufen, auch die „Windows Production PCA 2011“ hat am 19. Oktober 2026 ihr Verfallsdatum. Microsoft tauscht die ablaufende „Principal Certification Authority“ (PCA) aus, was jedoch Nebenwirkungen hat und erfordert, dass Admins und Entwickler aktiv werden.
Darauf hat Microsoft im Message Center der Windows-Release-Health-Notizen hingewiesen. Zudem liefert das Unternehmen Handreichungen für Anwendungsentwickler und IT-Admins, damit diese zu erwartende Probleme im Vorfeld ausräumen können.
Microsoft erklärt, dass die Windows-Signierung in den kommenden Wochen auf eine Ersatzzertifizierungsstelle umgestellt wird, die jedoch die bisherigen Sicherheitseigenschaften beibehält. Wenn Anwendungen die alte Zertifizierungsstelle verwenden, kann ihre Ausführung in der Übergangszeit möglicherweise fehlschlagen. Zudem will das Unternehmen bis zum Jahresende stärkere Sicherheitsalgorithmen einsetzen, etwa RSA-3072 und SHA-384. Zudem will Microsoft ab 2027 die Windows-Signatur auf Post-Quanten-Signaturen (PQC, Post Quantum Cryptography) umstellen. Dadurch können künftige Signaturen neue Algorithmen und hybride Signaturkonstrukte einsetzen.
Bei Tests solcher geänderter Windows-Signaturzertifikate und -Algorithmen ist Microsoft bereits auf Probleme gestoßen. Festgepinnte Microsoft-Zertifikatantragsteller, Aussteller, Fingerabdrücke, Seriennummern oder Algorithmen führten zu nicht laufenden Apps. Oder dass Signaturen SHA-256, RSA-2048 beziehungsweise andere spezifische Algorithmen verwenden müssen. Ebenfalls problematisch ist das direkte Parsen von Authenticode-Signaturen, anstatt die Windows-APIs dafür zu nutzen, ebenso die Verwendung von privaten Vertrauensspeichern für Zertifikate, die nicht durch Microsoft-Zertifikatrotationen aktualisiert werden.
Daraus leitet Microsoft Handlungsempfehlungen ab. App-Entwickler sollen Vertrauenswürdigkeit und nicht die Zertifikatsidentität prüfen und auf unterstützte Windows-APIs setzen. Programmierer sollen zudem algorithmenunabhängig bleiben und keine Vorgaben zu bestimmten Kombinationen machen. Da die Zertifikate geändert werden, sollten Prüfungen anhand der Ersatzzertifikate von Microsoft und der privaten Vertrauensspeicher für Zertifikate erfolgen.
IT-Admins sollen hingegen die relevanten Softwareanbieter dahingehend befragen, ob diese auf unterstützte Windows-Trust-APIs setzen und Microsoft-Zertifikate oder -Zertifizierungsstellen festpinnen. Außerdem ist wichtig, dass deren Software mit den Ersatz-Signaturzertifikaten und SHA-384-Signaturen getestet wurde. Die Nachfrage nach einem privaten Vertrauensspeicher für Zertifikate sollte ebenfalls erfolgen mit dem Hinweis, gegebenenfalls dafür einen Zertifikat-Updateprozess vorzunehmen. Auch sollten Softwareanbieter vorbereitet sein für künftige PQC-Signaturänderungen.
Microsoft legt einen Zeitplan vor. Bis zum Auslauf der Windows Production PCA 2011 am 19. Oktober läuft ab jetzt der PCA-Austausch. Später im Jahr 2026 plant Microsoft den Übergang auf stärkere Konfigurationen für die Windows-Produktionssignierung. Im Jahr 2027 stellt Microsoft die Signatur in der Windows-Produktion auf Post-Quanten-Kryptografie um – und berücksichtigt dabei auch Vorgängerplattformen und Legacy-Systeme.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.