首頁針對 Windows 7 和 Windows Server 2008 R2 提供 SHA-2 代碼簽名支持
一般信息
執(zhí)行摘要
Microsoft 宣布針對 Windows 7 和 Windows Server 2008 R2 的所有受支持版本補(bǔ)充一個更新，以便添加 SHA-2 簽名和驗證功能支持。 此更新替代 2014 年 10 月 17 日廢止的 2949927 更新，以解決安裝后某些客戶遇到的問題。 如同原始版本，Windows 8、Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 和 Windows RT 8.1 不需要此更新，因為 SHA-2 簽名和驗證功能已包含在這些操作系統(tǒng)中。 此更新不適用于 Windows Server 2003、Windows Vista 或 Windows Server 2008。
建議:?啟用了自動更新且配置為從 Microsoft 更新聯(lián)機(jī)檢查更新的客戶通常不需要執(zhí)行任何操作，因為將自動下載和安裝此安全更新。 尚未啟用“自動更新”的客戶必須檢查更新，并手動安裝此更新。 有關(guān)自動更新中特定配置選項的信息，請參閱?Microsoft 知識庫文章 294871。
對于手動安裝更新的客戶（包括尚未啟用自動更新的客戶），Microsoft 建議使用更新管理軟件或通過使用?Microsoft 更新服務(wù)檢查更新來盡早應(yīng)用該更新。 更新也可以通過本公告“受影響的軟件”表中的下載鏈接獲取。
此公告討論以下軟件。
|
操作系統(tǒng) |
替代的更新 |
|
Windows 7（用于 32 位系統(tǒng)）Service Pack 1? |
MS15-025?中的 3035131 |
|
Windows 7（用于基于 x64 的系統(tǒng)）Service Pack 1? |
MS15-025?中的 3035131 |
|
Windows Server 2008 R2（用于基于 x64 的系統(tǒng)）Service Pack 1? |
MS15-025?中的 3035131 |
|
Windows Server 2008 R2（用于基于 Itanium 的系統(tǒng)）Service Pack 1? |
MS15-025?中的 3035131 |
|
服務(wù)器核心安裝選項 |
MS15-025?中的 3035131 |
|
Windows Server 2008 R2（用于基于 x64 的系統(tǒng)）Service Pack 1（服務(wù)器核心安裝） |
MS15-025?中的 3035131 |
[1]3033929 更新已影響二進(jìn)制文件，與通過?MS15-025?同時發(fā)布的 3035131 更新相同。 手動下載和安裝更新的客戶，以及計劃安裝這兩個更新的客戶，應(yīng)先安裝 3035131 更新，然后安裝 3033929 更新。 有關(guān)詳細(xì)信息，請參閱公告常見問題。
此公告的適用范圍有多大？?
此公告的目的是通知客戶提供了一個更新，它可向 Windows 7 和 Windows Server 2008 R2 的所有受支持版本添加 SHA-2 哈希算法功能。
這是否是一個需要 Microsoft 發(fā)布安全更新的安全漏洞？?
否。SHA-1 的替代簽名機(jī)制已推出一段時間，不鼓勵使用 SHA-1 作為一種哈希算法進(jìn)行簽名，這不再是最佳做法。 Microsoft 建議使用 SHA-2 哈希算法，將發(fā)布此更新來使客戶能夠?qū)?shù)字證書密鑰遷移到更安全的 SHA-2 哈希算法。
SHA-1 哈希算法的原因是什么？
問題的根本原因是 SHA-1 哈希算法的一個已知弱點，存在沖突攻擊的風(fēng)險。 此類攻擊使攻擊者能夠生成與原始證書具有相同數(shù)字簽名的其他證書。 這些問題經(jīng)過充分了解，不鼓勵將 SHA-1 證書用于需要阻止這些攻擊的特定目的。 在 Microsoft，安全開發(fā)生命周期要求 Microsoft 不再使用 SHA-1 哈希算法作為 Microsoft 軟件中的默認(rèn)功能。 有關(guān)詳細(xì)信息，請參閱?Microsoft 安全公告 2880823?和 Windows PKI 博客條目?SHA1 否決策略。
此更新有什么作用？?
此更新將向受影響的系統(tǒng)添加 SHA-2 哈希算法簽名和驗證支持，它包括以下內(nèi)容：
- 在?Cabinet 文件上支持多個簽名
- 在?Windows PE 文件上支持多個簽名
- 支持查看多個數(shù)字簽名的 UI 更改
- 能夠驗證代碼完整性組件的 RFC3161 時間戳，該組件可驗證內(nèi)核中的簽名
- 支持各種 API，包括?CertIsStrongHashToSign、CryptCATAdminAcquireContext2?和?CryptCATAdminCalcHashFromFileHandle2
什么是安全哈希算法 (SHA-1)？?
安全哈希算法 (SHA) 是為了與數(shù)字簽名算法 (DSA) 或數(shù)字簽名標(biāo)準(zhǔn) (DSS) 一起使用而開發(fā)的，將生成 160 位哈希值。 SHA-1 具有已知弱點，存在沖突攻擊的風(fēng)險。 此類攻擊使攻擊者能夠生成與原始證書具有相同數(shù)字簽名的其他證書。 有關(guān) SHA-1 的詳細(xì)信息，請參閱哈希和簽名算法。
什么是 RFC3161？?
RFC3161 定義 Internet X.509 公鑰基礎(chǔ)結(jié)構(gòu)時間戳協(xié)議 (TSP)，該協(xié)議描述時間戳頒發(fā)機(jī)構(gòu) (TSA) 的請求和響應(yīng)的格式。 可以使用 TSA 證明數(shù)字簽名是在公鑰證書的有效期內(nèi)生成的，請參閱?X.509 公鑰基礎(chǔ)結(jié)構(gòu)。
什么是數(shù)字證書？?
對于公鑰加密，其中一個密鑰（稱為“私鑰”）必須保密。 其他密鑰（稱為“公鑰”）可與公眾共享。 然而，密鑰的所有者必須得有一種方法來告訴公眾該密鑰歸誰所有。 數(shù)字證書提供了執(zhí)行此操作的方法。 數(shù)字證書是用于認(rèn)證個人、組織或計算機(jī)的聯(lián)機(jī)身份的電子憑據(jù)。 數(shù)字證書包含一個公鑰，并與其相關(guān)信息（歸誰所有、供誰使用、何時到期等等）打包在一起。 有關(guān)詳細(xì)信息，請參閱了解公鑰加密和數(shù)字證書。
數(shù)字證書的用途是什么？?
數(shù)字證書主要用于檢驗人員或設(shè)備的身份、驗證服務(wù)或加密文件。 通常，根本不需要考慮證書，但是偶爾會有消息指出證書過期或無效。 在這些情況下，您應(yīng)按照消息中提供的說明操作。
此更新 (3033929) 與 MS15-025 中討論的 3035131 更新有什么聯(lián)系？
此更新 (3033929) 與通過?MS15-025?同時發(fā)布的 3035131 更新共享受影響的二進(jìn)制文件。 此重疊迫使一個更新取代另一個更新，且在這種情況下，公告更新 3033929 取代更新 3035131。啟用了自動更新的客戶不會遇到異常安裝行為；兩個更新應(yīng)自動安裝且應(yīng)顯示在已安裝更新的列表中。 但是，對于手動下載和安裝更新的客戶，更新安裝的順序?qū)⒋_定觀察到的行為，如下所示：
情景 1（首選）： 客戶首先安裝更新 3035131，然后安裝公告更新 3033929。?
結(jié)果： 兩個更新應(yīng)正常安裝且應(yīng)顯示在已安裝更新的列表中。
情景 2： 客戶首先安裝公告更新 3033929，然后安裝更新 3035131。
結(jié)果： 安裝程序通知用戶 3035131 更新已安裝在系統(tǒng)上；且 3035131 更新未添加到已安裝更新的列表中。
-
為 Microsoft Windows 的受支持版本應(yīng)用更新
大部分客戶已啟用“自動更新”，且不需要執(zhí)行任何操作，因為系統(tǒng)將自動下載并安裝此更新。 尚未啟用“自動更新”的客戶必須檢查更新，并手動安裝此更新。 有關(guān)自動更新中特定配置選項的信息，請參閱?Microsoft 知識庫文章 294871。
對于管理員和企業(yè)安裝，或者想要手動安裝此安全更新的最終用戶（包括未啟用自動更新的客戶），Microsoft 建議客戶使用更新管理軟件或通過使用?Microsoft 更新服務(wù)檢查更新來盡早應(yīng)用該更新。 更新也可以通過本公告“受影響的軟件”表中的下載鏈接獲取。
其他建議措施
-
保護(hù)您的 PC
我們?nèi)怨膭羁蛻舭凑铡氨Ｗo(hù)您的計算機(jī)”指導(dǎo)啟用防火墻、獲取軟件更新并安裝防病毒軟件。 有關(guān)詳細(xì)信息，請參閱?Microsoft 安全中心。
-
及時更新 Microsoft 軟件
運行 Windows 軟件的用戶應(yīng)該應(yīng)用最新的 Microsoft 安全更新，以幫助確保其計算機(jī)盡可能受到最好的保護(hù)。 如果不確定您的軟件是否最新，請訪問?Microsoft 更新，掃描您的計算機(jī)以獲取可用更新，并安裝向您提供的任何高優(yōu)先級更新。 如果“自動更新”已啟用并配置為向 Microsoft 產(chǎn)品提供更新，則此更新將在發(fā)布后自動傳輸給您，但您應(yīng)驗證它們是否已安裝。
Microsoft Active Protections Program (MAPP)
為改進(jìn)客戶的安全保護(hù)，Microsoft 在發(fā)布每月安全更新之前將向主要的安全軟件供應(yīng)商提供漏洞信息。 然后，安全軟件供應(yīng)商可以使用該漏洞信息通過其安全軟件或者設(shè)備向客戶提供更新的保護(hù)，例如防病毒、基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)或者基于主機(jī)的入侵防止系統(tǒng)。 要確定是否可從安全軟件供應(yīng)商處得到活動保護(hù)，請訪問計劃合作伙伴（在?Microsoft Active Protections Program (MAPP) 合作伙伴中列出）提供的活動保護(hù)網(wǎng)站。
反饋
- 您可以通過填寫 Microsoft 幫助和支持表“客戶服務(wù)聯(lián)系我們”提供反饋。
支持
- 美國和加拿大的客戶可以從安全支持獲得技術(shù)支持。 有關(guān)詳細(xì)信息，請參閱?Microsoft 幫助和支持。
- 國際客戶可從當(dāng)?shù)氐?Microsoft 分公司獲得支持。 有關(guān)詳細(xì)信息，請參閱國際支持。
- Microsoft TechNet 安全提供有關(guān) Microsoft 產(chǎn)品中安全性的其他信息。
免責(zé)聲明
本通報中提供的信息“按原樣”提供，沒有任何形式的擔(dān)保。 Microsoft 不作任何明示或暗示保證，包括對適銷性和針對特定目的的適用性的保證。 Microsoft Corporation 或其供應(yīng)商不對任何損害（包括直接的、間接的、偶然的、必然的損害，商業(yè)利潤損失，或特殊損害）承擔(dān)任何責(zé)任，即使 Microsoft Corporation 或其供應(yīng)商事先已被告知有可能發(fā)生此類損害。 有些州不允許排除或限制必然或偶然損害的賠償責(zé)任，因此上述限制可能不適用。
修訂版本
- V1.0（2015 年 3 月 10 日）： 已發(fā)布公告。