2019年Windows和WSUS的SHA-2代码签名支持要求
摘要
为了保护您的安全，Windows操作系统更新使用SHA-1和SHA-2哈希算法进行双重签名，以验证更新是否直接来自Microsoft，并且在交付期间未被篡改。由于SHA-1算法存在缺陷并符合行业标准，Microsoft将仅使用更安全的SHA-2算法签署Windows更新。
运行旧版操作系统版本（Windows 7 SP1，Windows Server 2008 R2 SP1和Windows Server 2008 SP2）的客户将需要在2019年7月之前在其设备上安装SHA-2代码签名支持。任何没有SHA-2支持的设备都不会在2019年7月之后提供Windows更新。为帮助您做好此更改的准备，我们将在2019年发布对SHA-2签名的支持.Windows服务器更新服务（WSUS）3.0 SP2将获得SHA-2支持，以正确提供SHA-2签名更新。有关迁移时间表，请参阅“产品更新”部分。
背景细节
安全散列算法1（SHA-1）是作为不可逆的散列函数开发的，并且被广泛用作代码签名的一部分。不幸的是，由于算法中存在的弱点，处理器性能的提高以及云计算的出现，SHA-1哈希算法的安全性随着时间的推移变得不那么安全。安全哈希算法2（SHA-2）等更强大的替代方案现在非常受欢迎，因为它们不会遇到相同的问题。有关SHA-1弃用的更多信息，请参阅哈希和签名算法。
产品更新
从2019年初开始，SHA-2 支持的迁移过程将分阶段进行，支持将以独立更新的形式提供。Microsoft针对以下计划提供SHA-2支持。请注意，下面的时间表可能会有所变化。我们将根据流程开始并根据需要更新此页面。
从2019年初开始，SHA-2 支持的迁移过程将分阶段进行，支持将以独立更新的形式提供。Microsoft针对以下计划提供SHA-2支持。请注意，下面的时间表可能会有所变化。我们将根据流程开始并根据需要更新此页面。
| 目标日期 |
事件 |
适用于 |
| 2019年3月12日 | 发布独立 安全更新KB4474419 和KB4490628以引入SHA-2代码签名支持。
|
Windows 7 SP1， Windows Server 2008 R2 SP1 |
| 2019年3月12日 | 独立更新，KB4484071可用于WSUS 3.0 SP2的Windows Update目录，该程序支持提供SHA-2签名更新。对于使用WSUS 3.0 SP2的客户，应在2019年6月18日之前手动安装此更新。 | WSUS 3.0 SP2 |
| 2019年4月9日 | 独立更新，KB4493730引入了服务堆栈（SSU）的SHA-2代码符号支持，已作为安全更新发布。 | Windows Server 2008 SP2 |
| 2019年5月14日 | 发布独立 安全更新 KB4474419以引入SHA-2代码签名支持。 | Windows Server 2008 SP2 |
| 2019年6月11日 | 独立安全更新KB4474419重新发布以添加缺少的MSI SHA-2代码符号支持。 | Windows Server 2008 SP2 |
| 2019年6月18日 | Windows 10更新的签名仅从双签名（SHA-1 / SHA-2）更改为SHA-2。无需客户行动。 | Windows 10 1709， Windows 10 1803， Windows 10 1809， Windows Server 2019 |
| 2019年6月18日 | 必需：对于使用WSUS 3.0 SP2的客户，必须在此日期之前手动安装KB4484071 以支持SHA-2更新。 | WSUS 3.0 SP2 |
| 2019年7月9日 | 必需：旧版Windows版本的更新将要求安装SHA-2代码签名支持。将需要 4月和5月发布的支持（KB4493730和 KB4474419 ）才能继续接收这些Windows版本的更新。
旧版Windows更新签名此时仅从双签名（SHA-1 / SHA-2）更改为SHA-2。 |
Windows Server 2008 SP2 |
| 2019年7月16日 | Windows 10更新的签名仅从双签名（SHA-1 / SHA-2）更改为SHA-2。无需客户行动。 | Windows 10 1507， Windows 10 1607， Windows 10 1703 |
| 2019年8月13日 | 必需：旧版Windows版本的更新将要求安装SHA-2代码签名支持。为了继续接收这些Windows版本的更新，将需要3月发布的支持（KB4474419和 KB4490628）。
旧版Windows更新签名此时仅从双签名（SHA-1 / SHA-2）更改为SHA-2。 |
Windows 7 SP1， Windows Server 2008 R2 SP1 |
| 2019年9月10日 | 传统Windows更新签名仅从双签名（SHA-1 / SHA-2）更改为SHA-2。无需客户行动。 | Windows Server 2012， Windows 8.1， Windows Server 2012 R2 |