2020 年 2 月部署通知 - Microsoft 信任根憑證計劃

2020 年 2 月 25 日星期二，Microsoft 將發布計畫中的 Microsoft 受信任根憑證計畫更新。

本版本將不會包含以下根（CA \ 根憑證 \ SHA-1 拇指印）：

  1. AC Camerfirma, S.A. \ 商會根憑證 - 2016 \ 2DE16A5677BACA39E1D68C30DCB14ABE22A6179B
  2. Athex Exchange S.A.（Athex）\ ATHEX Root CA G2 \ 892A1BD4C8B0F8AA9A65ED4CB9D3BF4840B34BC1
  3. A-Trust \ A-Trust-Qual-02 \ CD787A3D5CBA8207082848365E9ACDE9683364D8
  4. A-信託 \ A-信託-nQual-03 \ 4CAEE38931D19AE73B31AA75CA33D621290FA75E
  5. A-Trust \ A-Trust-Root-05 \ 2E66C9841181C08FB1DFABD4FF8D5CC72BE08F02
  6. A-信託 \ A-Trust-Qual-03a \ 42EFDDE6BFF35ED0BAE6ACDD204C50AE86C4F4FA
  7. 中國網際網路資訊中心（CNNIC）\ 中國網際網路資訊中心 EV 證書根 \ 4F99AA93FB2BD13726A1994ACE7FF005F2935D1E
  8. 中國網際網路資訊中心（CNNIC）\ CNNIC 根 \ 8BAF4C9B1DF02A92F7DA128EB91BACF498604B6F
  9. DocuSign （OpenTrust/Keynectis） \ KEYNECTSIS ROOT CA \ 9C615C4D4D85103A5326C24DBAEAE4A2D2D5CC97
  10. DocuSign （OpenTrust/Keynectis） \ OpenTrust Root CA G1 \ 7991E834F7E2EEDD08950152E9552D14E958D57E
  11. 立陶宛政府，Registru Centras \ RCSC RootCA \ FDE7C6FDB32BB8E63939840D6AE052C3D8B73B87
  12. 葡萄牙政府，Sistema de Certificação Electrónica do Estado （SCEE） / 國家電子認證系統 \ ECRaizEstado \ 3913853E45C439A2DA718CDFB6F3E033E04FEE71
  13. 南非政府，郵局信託中心 \ SAPO 第 3 級根 CA \ 38DD7659C735100B00A237E491B7BC0FFCD2316C
  14. 南非政府，郵局信任中心 \ SAPO 第二類根 CA \ E45501608AA1EF89E27B8CD3C3B34C03B038E6D7
  15. 南非政府，郵局信託中心 \ SAPO 4 類根 CA \ 20A8F5FFC43AF4A9BC89881EBF9920FF91E9FD0A
  16. 烏拉圭政府電子政務和信息社會局 （AGESIC） \ Autoridad Certificadora Raíz Nacional de Uruguay \ 7A1CDDE3D2197E7137433D3F99C0B369F706C749
  17. NLB 新盧布爾雅那銀行 d.d.盧布爾雅那 \ NLB 新盧布爾雅那銀行 d.d.盧布爾雅那 \ 0456F23D1E9C43AECB0D807F1C0647551A05F456
  18. Pos Digicert 有限公司。 馬來西亞 Berhad (有限公司) \ PosDigicert Class 2 Root CA G2 \ 313B8D0E7E2E4D20AE8668FFE59DB5193CBF7A32
  19. 塞爾維亞郵政 \ Posta CA Root \ D6BF7994F42BE5FA29DA0BD7587B591F47A44F22
  20. 斯洛維尼亞郵政 \ POSTarCA \ B1EAC3E5B82476E9D50B1EC67D2CC11E12E0B491
  21. 紅色 Abogacía \ ACA ROOT \ D496592B305707386CC5F3CDB259AE66D7661FCA
  22. Skaitmeninio sertifikavimo centras （SSC） \ SSC GDL CA Root B \ C860A318FCF5B7130B1007AD7F614A40FFFF185F
  23. Skaitmeninio sertifikavimo centras （SSC） \ SSC GDL CA VS Root \ D2695E12F592E9C8EE2A4CB8D55E295FEE6B2D31
  24. 瑞士BIT，瑞士聯邦資訊科技、系統與電信辦公室（FOITT）\ 瑞士政府根CA III \ CCEAE32445CD4218DD188EADCEB3133C7FB340AD
  25. 瑞士BIT，瑞士聯邦資訊科技、系統與電信辦公室（FOITT）\ 瑞士政府根CA II \ C7F7CBE2023666F986025D4A3E313F29EB0C5B38
  26. 馬來西亞電信應用商業 （TMCA） \ TM 應用商業根證書 \ 9957C53FC59FB8E739F7A4B7A70E9B8E659F208C

本版本將 停用 以下根節點（CA \ 根憑證 \ SHA-1 拇指印）：

  1. Certicámara S.A.\ AC Raíz Certicámara S.A. [CBA1C]\ CBA1C5F8B0E35EB8B94512D3F934A2E90610D336
  2. Digicert \ VeriSign Class 3 公共主要憑證機構 \ 742C3192E607E424EB4549542BE1BBC53E6174E2
  3. 斯洛維尼亞政府 \ Sigen-CA \ 3E42A18706BD0C9CCF594750D2E4D6AB0048FDC4
  4. 斯洛維尼亞政府 \ Sigov-CA \ 7FB9E2C995C97A939F9E81A07AEA9B4D70463496
  5. Halcom D.D. \ Halcom CA FO \ 0409565B77DA582E6495AC0060A72354E64B0192
  6. Swisscom（瑞士）有限公司 \ Swisscom Root EV CA 2 \ E7A19029D3D552DC0D0FC692D3EA880D152E1A6B
  7. 委內瑞拉政府，電子認證服務監理處（SUSCERTE）\ 委內瑞拉玻利瓦共和國根證書授權機構 \ 398EBE9C0F46C079C3C7AFE07A2FDD9FAE5F8A5C
  8. 委內瑞拉政府，電子認證服務監督局（SUSCERTE） \ Autoridad de Certificacion Raiz de la Republica Bolivariana de Venezuela \ DD83C519D43481FAD4C22C03D702FE9F3B22F517
  9. 西班牙政府，國家莫內達與木材製造局（FNMT） \ 國家莫內達與木材製造廠 \ 43F9B110D5BAFD48225231B0D0082B372FEF9A54

本版本將 禁止OCSP EKU 使用以下根（CA \ 根憑證 \ SHA-1 拇指印）：

  1. Entrust \ Entrust 根認證機構 - G4 \ 14884E862637B026AF59625C4077EC3529BA9601
  2. GlobalSign \ GlobalSign 根 CA - R6 \ 8094640EB5A7A1CA119C1FDDD59F810263A7FBD1
  3. Zetes S.A. \ ZETES TSP ROOT CA 001 \ 3753D295FC6d8BC39B375650BFFC821AED504E1A
  4. Netrust \ Netrust CA1 \ 55C86F7414AC8BDD6814F4D86AF15F3710E104D0
  5. Google 信任服務（GTS）\ Google 信任服務 - GlobalSign 根憑證授權機構-R2 \ 75E0ABB6138512271C04F85FDDDE38E4B7242EFE
  6. Dhimyotis / Certigna \ Certigna \ B12E13634586A46F1AB2606837582DC4ACFD9497
  7. PostSignum 由 Ceska posta s.p.（捷克郵政）\ PostSignum 根憑證 QCA 4 \ AA40D2579BA82424CD27719B1D6B1F3571738099
  8. T-Systems International GmbH（德意志電信）\ T-TeleSec 全球根類別 3 \ 55A6723ECBF2ECCDC3237470199D2ABE11E381D1
  9. 香港特區政府（SAR），香港郵政，Certizen \ 香港郵政 Root CA 3 \ 58A2D0EC2052815BC1F3F86402244EC28E024B02
  10. 香港特區政府（SAR）、香港郵政、認證處 \ 香港郵政 CA 1 \ D6DAA8208D09D2154D24B52FCB346EB258B28A58
  11. 信任波 \ 信任波 \ B80186D1EB9C86A54104CF3054F34C52B7E558C6
  12. SECOM 信託系統公司 有限公司 SECOM 信託系統有限公司 \ 36B12B49F9819ED74C9EBC380FC6568F5DACB2F7
  13. Izenpe S.A \ Izenpe.com \ 30779E9315022E94856A3FF8BCF815B082F9AEFD
  14. 中國金融認證局（CFCA）\ CFCA EV ROOT \ E2B8294B5584AB6B58C290466CAC3FB8398F8483
  15. 中國金融認證局（CFCA）\ 中國金融CA \ EABDA240440ABBD694930A01D09764C6C2D77966
  16. GlobalSign \ GlobalSign 根 CA - R1 \ B1BC968BD4F49D622AA89A81F2150152A41D829C
  17. 奧地利資料保護協會（GlobalTrust）\ 奧地利資料保護學會 GLOBALTRUST 認證服務 \ 342CD9D3062DA48C346965297F081EBC2EF68FDC

本版本不會在 程式碼簽署 EKU 之前標示以下根節點（CA \ 根憑證 \ SHA-1 拇指印）：

  1. Agencia Notarial de Certificación （ANCERT） \ ANCERT Certificados Notariales V2 \ 6F62DEB86C85585AE42E478DB4D76DB367585AE6
  2. 瑞典政府（Försäkringskassan）\ 瑞典政府根憑證機構 v3 \ 746F88F9AC163C53009EEF920C4067756A15717E

本版本在程式碼 簽署 EKU 並移除 EV 功能 之前，將以下根目錄（CA \ 根憑證 \ SHA-1 拇指列印）移除：

  1. Telia 公司（前稱 TeliaSonera）\ TeliaSonera Root CA v1 \ 4313BB96F1D5869BC14E6A92F6CFF634698782371。

本版本 在程式碼簽署與伺服器認證 EKU 之前，將不 包含以下根（CA \ 根憑證 \ SHA-1 拇指印）：

  1. Agencia Notarial de Certificación （ANCERT） \ ANCERT Certificados CGN V2 \ 7EB1A0429BE5F428AC2B93971D7C8448A536070C

本版本不會在 伺服器認證 EKU 之前提供以下根（CA \ 根憑證 \ SHA-1 拇指指紋）：

  1. Asseco Data Systems S.A.（前稱 Unizeto Certum）\ Certum \ 6252DC40F71143A22FDE9EF7348E064251B18118
  2. Digicert \ GeoTrust Global CA \ DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212
  3. Digicert \ GeoTrust 主要認證機構 - G2 \ 8D1784D537F3037DEC70FE578B519A99E610D7B0

本版本將移除以下根目錄（CA \ 根憑證 \ SHA-1 拇指印）的 EV 功能 ：

  1. AC Camerfirma， S.A. \ Global Chambersign Root - 2008 \ 4ABDEEEC950D359C89AEC752A12C5B29F6D6AA0C

本版本將 新增 以下根節點（CA \ 根憑證 \ SHA-1 拇指印）：

  1. Microsoft \ Microsoft RSA 根證書授權機構 2017 \ 73A5E64A3BFF8316FF0EDCCC618A906E4EAE4D74
  2. Microsoft \ Microsoft ECC 根憑證授權中心 2017 \ 999A64C37FF47D9FAB95F14769891460EEC4C3C5

備註

  • Windows 10 允許我們使用「NotBefore」或「Disable」屬性來停止信任根憑證或 EKU，這兩者都允許我們在不完全移除證書的情況下移除根憑證的某些功能。 這些功能在 Windows 10 之前的版本中無法使用。 早期版本的 Windows 不會受到此變更的影響。
  • NotBefore 與 Disable 日期定於發行月的第一天。 這表示所有在1月1日之後核發的證書都會受到影響。
  • 更新套件將於以下平台提供下載與測試： https://aka.ms/CTLDownload
  • Microsoft 受信任根計畫的憑證信任清單（CTL）上的簽章已從雙重簽署（SHA-1/SHA-2）變更為僅使用 SHA-2。 無需客戶採取任何行動。 如需詳細資訊，請造訪： https://support.microsoft.com/en-us/help/4472027/2019-sha-2-code-signing-support-requirement-for-windows-and-wsus
  • Last updated on