停止SHA1算法签名证书及时间戳服务尤其是代码签名证书,补丁介绍

根据CA/B Forum 关于代码签名的指南规定，从2021年1月1日之后 ，将停止颁发SHA1算法代码签名证书、EV代码签名证书和停止SHA1算法时间戳服务。

变化或影响
1、自2020年12月1日起，将不再支持申请、重颁发或续费SHA1算法的代码签名证书和EV代码签名证书。
2、2020年12月1日前签发的SHA1算法代码签名证书和EV代码签名证书在有效期内仍可正常使用。
3、从2021年1月1日起，各CA机构将不再提供SHA1算法时间戳服务。

应对策略
1、已申请使用SHA1算法证书签名并添加时间戳的软件不受影响并长期有效；
2、当SHA1算法时间戳服务关闭后，将无法正常使用该时间戳进行签名，建议升级为SHA256算法时间戳；
3、如果您需要使用SHA1算法代码签名证书，请于2020年12月1日之前进行申请、重颁发或续费；
4、Windows 7或以下版本的程序需要通过安装补丁方式来适配SHA256算法签名，否则应用软件签名将无法被识别。
————————————————

操作方法： 下载安装微软官方提供的补丁，并重启计算机。

对应补丁：

Windows7 ， Windows 2008 R2 用户：

系统	补丁号	下载地址
Server 2008 R2 x64 sp1	KB4474419	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/09/windows6.1-kb4474419-v3-x64_b5614c6cea5cb4e198717789633dca16308ef79c.msu
	KB4490628	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/03/windows6.1-kb4490628-x64_d3de52d6987f7c8bdc2c015dca69eac96047c76e.msu
Win7 x64 sp1	KB4474419	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/09/windows6.1-kb4474419-v3-x64_b5614c6cea5cb4e198717789633dca16308ef79c.msu
	KB4490628	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/03/windows6.1-kb4490628-x64_d3de52d6987f7c8bdc2c015dca69eac96047c76e.msu
Win7 x86 sp1	KB4474419	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/09/windows6.1-kb4474419-v3-x86_0f687d50402790f340087c576886501b3223bec6.msu
	KB4490628	http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/03/windows6.1-kb4490628-x86_3cdb3df55b9cd7ef7fcb24fc4e237ea287ad0992.msu

 

系统	需要升级
Server 2008 R2 x64 sp0	需将系统升级至Server 2008 R2 x64 sp1版本
Win7 x64 sp0	需将系统升级至Win7 x64 sp1版本
Win7 x86 sp0	需将系统升级至Win7 x86 sp1版本

 

 

Windows Vista ， Windows 2008 用户：

系统	补丁号	下载地址
Server 2008 x64 sp2	KB4474419	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/09/windows6.0-kb4474419-v4-x64_09cb148f6ef10779d7352b7269d66a7f23019207.msu
	KB4493730	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windows6.0-kb4493730-x64_5cb91f4e9000383f061b80f88feffdf228c2443c.msu
Server 2008 x86 sp2	KB4474419	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/09/windows6.0-kb4474419-v4-x86_fd568cb47870cd8ed5ba10e1dd3c49061894030e.msu
	KB4493730	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windows6.0-kb4493730-x86_ab4368f19db796680ff445a7769886c4cdc009a0.msu
Vista x64 sp2	KB4474419	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/09/windows6.0-kb4474419-v4-x64_09cb148f6ef10779d7352b7269d66a7f23019207.msu
	KB4493730	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windows6.0-kb4493730-x64_5cb91f4e9000383f061b80f88feffdf228c2443c.msu
Vista x86 sp2	KB4474419	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/09/windows6.0-kb4474419-v4-x86_fd568cb47870cd8ed5ba10e1dd3c49061894030e.msu
	KB4493730	http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windows6.0-kb4493730-x86_ab4368f19db796680ff445a7769886c4cdc009a0.msu

 

系统	需要升级
Server 2008 x64 sp1	需将系统升级至Server 2008 x64 sp2版本
Server 2008 x86 sp1	需将系统升级至Server 2008 x86 sp2版本
Vista x64 sp0	需将系统升级至Vista x64 sp2版本
Vista x86 sp0	需将系统升级至Vista x86 sp2版本
Vista x64 sp1	需将系统升级至Vista x64 sp2版本
Vista x86 sp1	需将系统升级至Vista x86 sp2版本

补充 1 ：

SHA-1（英语：Secure Hash Algorithm 1，中文名：安全散列算法1）是一种密码散列函数，美国国家安全局设计，并由美国国家标准技术研究所（NIST）发布为联邦数据处理标准（FIPS）。

SHA-1可以生成一个被称为消息摘要的160位（20字节）散列值，散列值通常的呈现形式为40个十六进制数。

https://baike.baidu.com/item/SHA-1/1699692?fr=aladdin

补充 2 ：

微软宣布由于安全性逐渐下降，决定将不再使用安全哈希算法 SHA-1 ：

https://docs.microsoft.com/en-us/lifecycle/announcements/sha-1-signed-content-retired

微软宣布运行旧版 OS版本（Windows 7 SP1，Windows Server 2008 R2 SP1和Windows Server 2008 SP2）的客户必须在设备上安装相关补丁，以引入SHA-2代码签名支持：

https://support.microsoft.com/en-us/topic/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus-64d1c82d-31ee-c273-3930-69a4cde8e64f