Прекращена поддержка конечных точек Центра обновления Windows на основе SHA-1 для устройств со старыми версиями Windows

Введение

В соответствии с политикой завершения поддержки алгоритма SHA-1 (Майкрософт) Центр обновления Windows прекращает использовать конечные точки на основе SHA-1 в конце июля 2020 г. Это означает, что устройства со старыми версиями Windows, не обновленные до SHA-2, больше не будут получать обновления через Центр обновления Windows. Ваши устройства со старыми версиями Windows могут продолжать использование Центра обновления Windows путем установки вручную определенных обновлений, включающих поддержку SHA-2.

Все остальные платформы Windows продолжат получать обновления через Центр обновления Windows, так как они подключены к конечным точкам службы SHA-2.

С чем связано это обновление?

Поддержка устаревших конечных точек службы Центра обновления Windows, использовавшихся только для старых платформ, прекращается. Это изменение вносится, из-за слабостей алгоритма хеширования SHA-1 и для обеспечения соответствия отраслевым стандартам.

Хотя конечная точка SHA-1 больше не поддерживается, устройства с новыми версиями Windows продолжат получать обновления через Центр обновления Windows, так как эти устройства используют более безопасный алгоритм SHA-2. Чтобы узнать, затрагивается ли ваше устройство, см. таблицу в разделе «Какие устройства с Windows затронуты».

Какие устройства с Windows затронуты?

Большинство пользователей не затрагиваются этим изменением. С Windows 8 для компьютеров и Windows Server 2012 подключения к конечным точкам службы Центра обновления Windows используют более современный алгоритм (SHA-256). В более ранних версиях Windows для подключения к конечным точкам службы Центра обновления Windows используется менее надежный алгоритм SHA-1.

Для большинства затронутых версий Windows обновление SHA-2 добавит поддержку, необходимую для продолжения получения обновлений через Центр обновления Windows. В таблице ниже показано влияние на различные версии Windows. Некоторые платформы больше не поддерживаются, поэтому они не будут обновлены.

Windows для рабочего стола

Устройство не поддерживается

Центры обновления Windows больше не будут поддерживаться.

64-разрядная версия Windows XP

Windows XP с пакетом обновления 3 (SP3)

Windows Vista с пакетом обновления 1 (SP1)

Windows Vista с пакетом обновления 2 (SP2)

Поддержка Центра обновления Windows будет затронута.
Проблему можно устранить путем ручной установки обновлений KB.

Windows 7 с пакетом обновления 1 (SP1)

Windows 8 и более поздние версии

Не затрагивается
Обновление не требуется

Windows 2000 Server

Устройство не поддерживается

Центры обновления Windows больше не будут поддерживаться.

Windows Server 2003

Windows Server 2003 с пакетом обновления 2 (SP2)

Windows Server 2008

Поддержка Центра обновления Windows будет затронута.
Проблему можно устранить путем ручной установки обновлений KB.

Windows Server 2008 с пакетом обновления 2 (SP2)

Windows Server 2008 R2

Windows Server 2008 R2 с пакетом обновления 1 (SP1)

Windows 2012 и более поздние версии

Не затрагивается
Обновление не требуется

Что произойдет с затронутыми устройствами?

В соответствии с предыдущей таблицей это изменение затрагивает только устройства со старыми версиями Windows, которые не обновлены до SHA-2. Затронутые устройства больше не смогут получать обновления через Центр обновления Windows, пока вы вручную не обновите их до SHA-2. Чтобы вручную обновить устройства с Windows, см. раздел «Как обновить устройства с Windows до SHA-2».

Устройство с Windows, не обновленное до SHA-2, попытается найти обновления и вернет одну из следующих ошибок:

Код ошибки 80072ee2: Устройству не удается подключиться к Центру обновления Windows.

Код ошибки 8024402c: Устройство не может найти Центр обновления Windows.

Код ошибки 80244019: Устройству не удается подключиться к Центру обновления Windows.

Некоторые проверки на наличие обновлений выполняются без непосредственного взаимодействия с пользовательским интерфейсом, например автоматические обновления, драйверы устройств, подписи антивирусной программы в Защитнике, обновления Microsoft Office и т. д. Для таких «фоновых» проверок эти сбои будут неочевидными. В таком случае вы можете проверить файл журнала Центра обновления Windows (c:\windows\windowsupdate.log) на наличие кодов сбоев: 0x8024402c, 8024402c, 0x80072ee2, 80072ee2, 0x80244019 или 80244019.

Как обновить устройства с Windows до SHA-2

Чтобы продолжать использовать Центр обновления Windows для устройств со старыми версиями Windows, вам требуется скачать и установить следующие два обновления:

Обновление 1: поддержка подписи кода SHA-2
При применении этого обновления добавляется поддержка для проверки подписей с использованием более безопасных алгоритмов хеширования SHA-2. Применяйте только обновление, подходящее для вашего устройства с Windows.

KB4474419: обновление поддержки подписи кода SHA-2
Область применения: Windows 7 SP1, Windows Server 2008 R2 SP1 и Windows Server 2008 SP2

KB4484071: поддержка SHA-2 для Windows Server Update Services
Область применения: Windows Server Update Services 3.0 SP1 и Windows Server Update Services 3.2

Примечание. Большинству пользователей следует устанавливать только обновление KB4474419. Корпоративные администраторы также могут установить обновление KB4484071.

Обновление 2: обновления стека обслуживания, связанного с SHA-2
При установке этого обновления добавляется поддержка в стек обслуживания Центра обновления Windows, чтобы проверять подписи SHA-2 и инструктировать затронутые устройства с Windows на выполнение связи с использованием современных конечных точек службы на основе SHA-2 в Центре обновления Windows. Применяйте только обновление, подходящее для вашего устройства с Windows.

KB4490628: Обновление стека обслуживания
Область применения: Windows 7 SP1 и Windows Server 2008 R2 SP1

KB4493730: обновления стека службы WU
Область применения: Windows Server 2008 SP2

Как узнать хэш (контрольную сумму) файла в Windows PowerShell

Хэш или контрольная сумма файла — короткое уникальное значение, вычисляемое из содержимого файла и обычно использующееся для проверки целостности и соответствия (совпадения) файлов при загрузке, особенно если речь идет о больших файлах (образы системы и подобные), которые могут быть скачены с ошибками или есть подозрения о том, что файл был подменен вредоносным ПО.

На сайтах загрузок часто бывает представлена контрольная сумма, вычисленная по алгоритмам MD5, SHA256 и другим, позволяющая сверить загруженный файл с файлом, выложенным разработчиком. Для вычисления контрольных сумм файлов можно использовать сторонние программы, но есть способ сделать это и стандартными средствами Windows 10, 8 и Windows 7 (требуется версия PowerShell 4.0 и выше) — с помощью PowerShell или командной строки, что и будет продемонстрировано в инструкции.

Получение контрольной суммы файла средствами Windows

Для начала потребуется запустить Windows PowerShell: проще всего использовать поиск в панели задач Windows 10 или меню Пуск Windows 7 для этого.

Команда, позволяющая вычислить хэш для файла в PowerShell — Get-FileHash, а чтобы использовать ее для вычисления контрольной суммы достаточно ввести ее со следующими параметрами (в примере вычисляется хэш для образа ISO Windows 10 из папки VM на диске C):

При использовании команды в таком виде, хэш вычисляется по алгоритму SHA256, но поддерживаются и другие варианты, задать которые можно с помощью параметра -Algorithm, например, для вычисления контрольной суммы MD5 команда будет выглядеть как в примере ниже

При этом поддерживаются следующие значение для алгоритмов вычисления контрольной суммы в Windows PowerShell

• SHA256 (по умолчанию)
• MD5
• SHA1
• SHA384
• SHA512
• MACTripleDES
• RIPEMD160

Подробное описание синтаксиса команды Get-FileHash доступно также на официальном сайте https://technet.microsoft.com/en-us/library/dn520872(v=wps.650).aspx

Получение хэша файла в командной строке с помощью CertUtil

В Windows присутствует встроенная утилита CertUtil для работы с сертификатами, которая, помимо прочего, умеет высчитывать контрольную сумму файлов по алгоритмам:

• MD2, MD4, MD5
• SHA1, SHA256, SHA384, SHA512

Для использования утилиты достаточно запустить командную строку Windows 10, 8 или Windows 7 и ввести команду в формате:

Пример получения хэша MD5 для файла показан на скриншоте ниже.

Дополнительно: на случай, если вам требуются сторонние программы для вычисления хэшей файлов в Windows, можно обратить внимание на SlavaSoft HashCalc.

Если же требуется вычислить контрольную сумму в Windows XP или в Windows 7 без PowerShell 4 (и возможности его установить), вы можете использовать утилиту командной строки Microsoft File Checksum Integrity Verifier, доступную для загрузки на официальном сайте https://www.microsoft.com/en-us/download/details.aspx?id=11533 (формат команды для использования утилиты: fciv.exe путь_к_файлу — результат будет MD5. Также можно вычислить хэш SHA1: fciv.exe -sha1 путь_к_файлу)

А вдруг и это будет интересно:

Почему бы не подписаться?

Рассылка новых, иногда интересных и полезных, материалов сайта remontka.pro. Никакой рекламы и бесплатная компьютерная помощь подписчикам от автора. Другие способы подписки (ВК, Одноклассники, Телеграм, Facebook, Twitter, Youtube, Яндекс.Дзен)

08.09.2016 в 19:21

Здравствуйте. На Windows 10 в контекстном меню проводника CRC SHA можно вычислить SHA-1, SHA-256.

09.09.2016 в 09:41

Здравствуйте. Подозреваю, это что-то установленное вами добавило такой пункт, по умолчанию нет (в настройках тоже подобного не нашел)

09.09.2016 в 18:37

Да Вы правы. Проверил, оказывается пункт CRS SHA принадлежит архиватору 7-Zip.

09.09.2016 в 08:19

Спасибо очень полезная статья.

09.09.2016 в 16:51

еще проще узнать хэш сумму сторонней программой, совершенно бесплатной HashTab.

Windows Update SHA-1 based endpoints discontinued for older Windows devices

Introduction

In compliance with the Microsoft Secure Hash Algorithm (SHA)-1 deprecation policy, Windows Update is discontinuing its SHA-1 based endpoints in late July 2020. This means that older Windows devices that have not updated to SHA-2 will no longer receive updates through Windows Update. Your older Windows devices can continue to use Windows Update by manually installing specific SHA-2 enabling updates.

All other Windows platforms will continue to receive updates through Windows Update as they always have because they connect to SHA-2 service endpoints.

Why is this change occurring?

An outdated Windows Update service endpoint used only for older platforms is being discontinued. This change is occurring because of weaknesses in the SHA-1 hashing algorithm and to align to industry standards.

Even though the SHA-1 endpoint is being discontinued, more recent Windows devices will continue receiving updates through Windows Update because those devices use the more secure SHA-2 algorithm. See the table in the «Which Windows devices are impacted» section to determine whether your devices are impacted.

Which Windows devices are impacted?

Most users will not be impacted by this change. Starting with Windows 8 Desktop and Windows Server 2012, connections to Windows Update service endpoints use a more modern algorithm (SHA-256). Older versions of Windows connect to Windows Update service endpoints by using the less secure SHA-1 algorithm.

For most of the impacted versions of Windows, a SHA-2 update will add the support necessary to continue receiving updates through Windows Update. The following table shows the impact on the various versions of Windows. Some platforms are no longer supported, therefore they will not be updated.

Device is out of support

Windows Updates will no longer be supported.

HashTab.ru

HashTab — Самый простой способ проверить подлинность и целостность ваших файлов!

Скачать HashTab!

HashTab представляет из себя расширение проводника Windows и плагин для Mac Finder для проверки целостности и подлинности файлов посредством вычисления контрольной суммы. HashTab поддерживает множество алгоритмов хеширования, таких как CRC, MD5, SHA-1, SHA-256, SHA-3, RipeMD и Whirlpool, а так же BitTorrent Info Hash и генерацию Magnet-ссылок.

После установки HashTab, кликните правой кнопкой мыши по любому файлу. В Windows, выберите «Свойства», и вы увидите новую вкладку «Хеш-суммы файлов». В Mac, выберите «File Hashes». В Mac OS X 10.8 меню «File Hashes» расположено в подменю «More». Окно «Хеш-суммы файлов» отображает все хеши для выбранного файла. Вы можете настроить, какие хеши будут вычисляться и выводиться на экран. Вы можете хешировать другие файлы для сравнения. Вы также можете вставить текст хеша, таким образом вам не придётся глазами сравнивать MD5 хеши, индикатор HashTab покажет, есть ли совпадения.

Обратите внимание: Программа HashTab бесплатна только для личного пользования, для студентов, и некоммерческих организаций. Коммерческое использование возможно только после покупки Лицензии.

HashTab для Windows 10, Windows 8/8.1, Windows 7:

HashTab для Windows XP:

Статьи и Обзоры:

Полный список поддерживаемых HashTab алгоритмов хеширования для вычисления контрольной суммы:

Добавляем вычисление SHA-1 и MD5 хешей в контекстное меню файлов

1. Установка программы

Берем отсюда File Checksum Integrity Verifier utility — консольную утилиту для вычисления и сравнения хешей MD5 и SHA-1 от Microsoft. Там же можно прочитать, что это за зверь и с чем его едят. Скачанный файл Windows-KB841290-x86-ENU.exe можно открыть как zip архив и увидеть, что он содержит два файла: собственно fciv.exe и ReadMe.txt, содержащий справку к утилите. Файл ReadMe нас не интересует, а fciv.exe нужно поместить в одну из директорий, прописанных в переменной PATH, дабы вызывать ее из командной строки без указания полного пути. Я поместил в system32. Проверить, что утилита работает, можно, натравив ее из командной строки на любой файл:

fciv -md5 C:\test.dat — для вычисления MD5
fciv -sha1 C:\test.dat — для вычисления SHA-1

2. Создание элемента контекстного меню

Для расширения контекстного меню файлов нужно будет немного подшаманить в реестре.
Запускаем regedit.exe, идем в HKEY_CLASSES_ROOT\* — это раздел, отвечающий за контекстное меню всех типов файлов. В разделе shell создаем подраздел с любым именем (у меня это fciv_md5). В параметре по умолчанию прописываем желаемое название пункта меню (напрмер, Compute MD5). У созданного подраздела (fciv_md5) создаем еще один подраздел с именем command, и у него в параметре по умолчанию прописываем магическую строчку:

cmd.exe /k fciv -md5 «%1»

Строка предписывает запустить cmd.exe с командой fciv -md5 «%1» и отобразить результат.
Для добавления пункта для вычисления SHA-1 проделываем ту же последовательность действий, меняя лишь названия. Команда в этом случае выглядит так:

cmd.exe /k fciv -sha1 «%1»

Должно получиться что-то вроде этого:

Все вышеперечисленное одним файлом:

3. Вычисляем SHA-1 хеш двумя кликами мыши:

Раз:

Два: