Definições de substituição — Programa de Certificado Raiz Confiável da Microsoft

O Windows tem várias opções para substituir as funcionalidades do certificado raiz. Essas funcionalidades estão listadas aqui.

Remoção

Remoção de uma raiz da CTL. Todos os certificados encadeados à raiz não são mais confiáveis. Os usuários ainda podem instalar de modo manual a raiz no Computador Local em "Autoridades de Certificação Raiz Confiáveis"/Repositório físico do Registro. No entanto, caso a raiz seja instalada no Computador Local em "Autoridades de Certificação Raiz Confiáveis"/Repositório físico de terceiros, ela será excluída de modo automático pelo serviço de atualização automática de raiz.

Remoção de EKU

Remoção de um EKU específico de um certificado raiz. Nenhum certificado de entidade Participante encadeado à essa raiz pode usar o EKU removido, não importa se uma assinatura digital tem ou não um carimbo de data/hora.

Disallow

Esse recurso consiste em adicionar o certificado na CLT Disallow. Além disso, ele pode ser usado para revogar vários tipos de certificados, como certificados autoassinados, certificados corporativos, certificados raiz confiáveis ou certificados folha de alto risco. Esse recurso revoga o certificado de modo efetivo. Os usuários não podem instalar a raiz de modo manual nem continuar a ter uma relação de confiança.

Desabilitar

Nenhum certificado encadeado a uma raiz desabilitada será confiável, com uma exceção muito importante: as assinaturas digitais com um carimbo de data/hora anterior à data em que ocorreu a desabilitação continuarão a ser validadas com êxito.

NotBefore

Permite executar a desabilitação granular de um certificado raiz ou uma funcionalidade EKU específica de um certificado raiz. Os certificados emitidos APÓS a data de NotBefore não serão mais confiáveis. No entanto, os certificados emitidos ANTES da data de NotBefore continuarão sendo confiáveis. Assinaturas digitais com um carimbo de data/hora definido antes da data de NotBefore continuarão a ser validadas com êxito.