Définition de l'obsolescence - Programme de certificats racine de confiance Microsoft

Windows propose de nombreuses options pour déprécier les capacités de certificat racine. Ces fonctionnalités sont répertoriées ici.

Suppression

Suppression d'une racine de la liste de confiance des certificats. Tous les certificats qui sont ancrés à la racine ne sont plus approuvés. Les utilisateurs peuvent toujours installer manuellement la racine dans le magasin physique du Registre « Autorités de certification racines approuvées » de l’ordinateur local. Toutefois, s’il est installé sur l’ordinateur local « Autorités de certification racines approuvées »/magasin physique tiers, est supprimé automatiquement par le service de mise à jour racine automatique.

Suppression d'EKU

Suppression d’une référence EKU spécifique d’un certificat racine. Tous les certificats d’entité finale qui chaînent à cette racine ne peuvent plus utiliser l’EKU supprimé, indépendamment du fait que la signature numérique ait été horodatée ou non.

Interdire

Cette fonctionnalité implique l'ajout du certificat à la liste de contrôle des certificats interdits et peut être utilisée pour révoquer de nombreux types de certificats tels que des certificats auto-signatures, des certificats d'entreprise, des certificats racines approuvés ou des certificats d'utilisateur à haut risque. Cette fonctionnalité révoque efficacement le certificat. Les utilisateurs ne peuvent pas installer manuellement le certificat racine et maintenir la confiance.

Désactiver

Tous les certificats qui chaînent vers une racine désactivée ne seront plus approuvés avec une exception très importante ; les signatures numériques avec un horodatage avant la date de désactivation continuent de s’valider correctement.

PasAvant

Permet la désactivation granulaire d’un certificat racine ou d’une fonctionnalité EKU spécifique d’un certificat racine. Les certificats émis APRÈS la date NotBefore ne seront plus approuvés, mais les certificats émis AVANT à la date NotBefore continueront d’être approuvés. Les signatures numériques avec un horodatage défini avant la date NotBefore continueront à être validées avec succès.