针对 Windows 7 和 Windows Server 2008 R2 提供 SHA-2 代码签名支持
发布日期： 2015-3-10
版本： 1.0
一般信息
执行摘要
Microsoft 宣布针对 Windows 7 和 Windows Server 2008 R2 的所有受支持版本补充一个更新，以便添加 SHA-2 签名和验证功能
支持。 此更新替代 2014 年 10 月 17 日废止的 2949927 更新，以解决安装后某些客户遇到的问题。 如同原始版本，Windows
8、Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 和 Windows RT 8.1 不需要此更新，因为
SHA-2 签名和验证功能已包含在这些操作系统中。 此更新不适用于 Windows Server 2003、Windows Vista 或 Windows Server
2008。
建议。 启用了自动更新且配置为从 Microsoft 更新联机检查更新的客户通常不需要执行任何操作，因为将自动下载和安装此安全更
新。 尚未启用“自动更新”的客户必须检查更新，并手动安装此更新。 有关自动更新中特定配置选项的信息，请参阅 Microsoft 知识
库文章 294871。
对于手动安装更新的客户（包括尚未启用自动更新的客户），Microsoft 建议使用更新管理软件或通过使用 Microsoft 更新服务检查
更新来尽早应用该更新。 更新也可以通过本公告“受影响的软件”表中的下载链接获取。
公告常见问题
此公告的适用范围有多大？
此公告的目的是通知客户提供了一个更新，它可向 Windows 7 和 Windows Server 2008 R2 的所有受支持版本添加 SHA-2 哈希算
法功能。
这是否是一个需要 Microsoft 发布安全更新的安全漏洞？
否。SHA-1 的替代签名机制已推出一段时间，不鼓励使用 SHA-1 作为一种哈希算法进行签名，这不再是最佳做法。 Microsoft 建
议使用 SHA-2 哈希算法，将发布此更新来使客户能够将数字证书密钥迁移到更安全的 SHA-2 哈希算法。
什么是安全哈希算法 (SHA-1)？
安全哈希算法 (SHA) 是为了与数字签名算法 (DSA) 或数字签名标准 (DSS) 一起使用而开发的，将生成 160 位哈希值。 SHA-1 具
有已知弱点，存在冲突攻击的风险。 此类攻击使攻击者能够生成与原始证书具有相同数字签名的其他证书。 有关 SHA-1 的详细信
息，请参阅哈希和签名算法。
什么是 RFC3161？
RFC3161 定义 Internet X.509 公钥基础结构时间戳协议 (TSP)，该协议描述时间戳颁发机构 (TSA) 的请求和响应的格式。 可以使
用 TSA 证明数字签名是在公钥证书的有效期内生成的，请参阅 X.509 公钥基础结构。