Knowledge Base

Microsoft Defender SmartScreen は、ユーザーが潜在的に安全でないアプリケーションをダウンロードまたは実行することを防ぐための保護機能です。SmartScreen は、コードサイニング証明書を発行または管理するものではありません。ダウンロードされたファイルの実行前に警告を表示するかどうかは、Microsoft が管理するレピュテーション情報に基づいて判断されます。

DigiCertのコード署名証明書を使用する場合：

• Microsoft はSmartScreenのレピュテーションを管理しています。
• EVコードサイニング証明書は、SmartScreenのレピュテーションによって即座に保証はされなくなりました。
• Microsoft が署名済みファイル、発行者、または署名証明書のレピュテーションを十分に確立するまで、エンドユーザーに警告が表示される場合があります。
  
• ユーザーが署名済みアプリケーションをダウンロードして実行し、悪意のある動作が見られない場合、レピュテーションは徐々に向上します。

この記事の内容

• 問題点
• コードサイニング署名の信頼性とMicrosoft Defender SmartScreenのレピュテーションの違い 
• EVコードサイニング証明書と SmartScreen レピュテーションの扱いは何が変わりましたか？
• SmartScreen の警告が表示される理由を教えてください。
• SmartScreenレピュテーションを確立/維持するためのベストプラクティス
• EVコードサイニング証明書で引き続き提供されるメリット
• Microsoft への確認依頼：ファイルを送信して分析を依頼してください 
• よくある質問 (FAQ)

問題点

DigiCertのEVコードサイニング証明書でアプリケーションに署名後、Microsoft Defender SmartScreenの警告が表示されるようになりました。EVコードサイニング証明書で署名すれば、アプリケーションは自動的に信頼されると思っていました。

コードサイニング署名の信頼性とMicrosoft Defender SmartScreenのレピュテーションの違い  

コードサイニング署名

コードサイニングは、署名後に実行ファイルが改変されていないかを示すことで、実行ファイルの完全性を保護するのに役立ちます。多くの最新のオペレーティングシステムは、出所不明または真正性が保証されていないコードからユーザーを保護するために、コードサイニングを必須としています。

Microsoft Defender SmartScreen レピュテーション

 SmartScreenは主に2つの点に着目しています。

1. Publisher レピュテーション
   ファイルは署名されていますか？発行元はMicrosoft のレピュテーションシステムに登録されていますか？
2. File レピュテーション
   悪意のある動作の兆候なく、ユーザーによってダウンロードまたは、実行をされたことがありますか？  
   
   

新たに署名されたファイルであっても、Microsoftがそのファイルまたは発行者に対して十分な肯定的な評価を得るまでは、SmartScreenの警告が表示される場合があります。

以下の場合、署名済みのファイルに、SmartScreen の警告が表示される場合があります。:

• 新しいコードサイニング証明書を使用する
• 新しいアプリケーションをリリースする
• ダウンロード数の少ないファイルを配布する
• 発行者IDを変更する
• 署名後にファイルを変更する

 EVコードサイニング証明書と SmartScreen レピュテーションの扱いは何が変わりましたか？

Microsoft Defender SmartScreenは、レピュテーションに基づいたセキュリティシステムです。

以前は、Microsoft は EV(拡張検証)コードサイニング証明書に対して、デフォルトでSmartScreenのレピュテーションを高く設定していました。つまり、EVコードサイニング証明書で署名されたファイルは、SmartScreenの警告が発生する可能性が低かったのです。  

EVコードサイニング証明書は依然として信頼性を示すシグナルとなる可能性がありますが、MicrosoftはEV署名されたアプリケーションがSmartScreenの警告を自動的に回避することを保証しなくなりました。現在、OVまたはEVコードサイニング証明書で署名されたファイルは、SmartScreenのレピュテーションを構築する必要があります。

詳細は下記リンクからご確認ください。Microsoft Learn: SmartScreen reputation for Windows app developers

SmartScreen の警告が表示される理由を教えてください。

「Windows によって PC が保護されました」という警告が表示されても、必ずしも以下を意味するものではありません。:

• コードサイニング証明書が無効である.
• 署名が信頼されていない
• アプリケーションが悪意があるものである
• DigiCert証明書に問題がある

Microsoft Defender SmartScreen の警告が表示される場合、多くは、署名済みファイル、発行者、または署名証明書について、SmartScreen が十分な信頼性評価をまだ確認できていないことを意味します。

この警告が表示されても、デジタル署名自体が無効である、または Windows によって信頼されていないことを直ちに意味するものではありません。SmartScreen レピュテーションは、ダウンロード実績や実行実績などを評価する、Microsoft が管理する独立した評価レイヤーです。  

SmartScreenレピュテーションを確立/維持するためのベストプラクティス  

SmartScreenのレピュテーションは、署名済みファイル、発行元、証明書、ダウンロード行動に関するMicrosoft レピュテーションに基づいています。DigiCertはコードサイ二ング証明書の認証と発行を行いますが、SmartScreenのレピュテーション決定はMicrosoft が行います。

上記を参考にSmartScreenのレピュテーションを構築、維持してください。

一貫した発行者情報を使用してください

アプリケーションの署名には、同じ発行者情報を継続して使用してください。発行者情報が変わると、Microsoft が追跡するレピュテーションに影響し、レピュテーションを再度構築する必要が生じる場合があります。 

すべてのリリースに署名してください

リリースされるすべての実行ファイル、インストーラー、およびソフトウェアパッケージに署名してください。署名されていないファイルは、サイニング証明書に関連付けられたレピュテーションの恩恵を受けません。また、Microsoft は、署名されていないファイルは、新しいバージョンごとにレピュテーションをゼロから構築する必要があると述べています。  

署名にタイムスタンプを付けてください

署名時にタイムスタンプを付与してください。タイムスタンプにより、コードサイニング証明書の有効期限後も署名の有効性を維持できます。

署名済みのファイルを変更しないでください

署名後にファイルを変更すると、署名が無効になる場合があります。ファイルを更新する必要がある場合は、変更後の最終版ファイルに対して署名してください。署名済みのファイルを変更すると、署名が無効になり、署名のメリットが失われる可能性があります。

信頼できる配布元からソフトウェアを提供してください

信頼できる配信元からソフトウェアを提供してください。ユーザーには、認識および信頼できる配布元からのみアプリケーションをダウンロードするよう案内してください。

信頼できる配信元：

• 公式企業ドメイン
• HTTPSで保護されたダウンロードページ
• 一貫したダウンロードURL  

避けるべき配信元：

• ファイル共有サービス
• 一時的なホスティングプロバイダー
• 頻繁に変更されるダウンロードドメイン  

エンドユーザーに SmartScreen 警告の可能性を事前に案内してください

新しいアプリケーション、新しいバージョン、またはダウンロード数が少ない場合は、SmartScreen 警告が表示される可能性があることをエンドユーザーに事前に案内してください。

以下の点を確認するよう促してください。:

• 発行元の確認
• 信頼できるソースからファイルをダウンロードしたことを確認
• 不明な点があれば、サポートチームに連絡する

EVコードサイニング証明書で引き続き提供されるメリット

Microsoft はEVサイニングファイルに対してSmartScreenの即時レピュテーションを保証しなくなりましたが、EVコードサイニング証明書は依然として下記の点で重要な利点を提供します。:  

• 強力な発行者ID認証
• ハードウェアによる秘密鍵保護要件
• より高度な署名手法
• 発行者の信頼可視性の向上
• Microsoft および業界のセキュリティ基準への準拠

Microsoft への確認依頼：ファイルを送信して分析を依頼してください 

署名済みアプリケーションが誤ってマルウェアとして検出されたり、SmartScreenの警告が繰り返し発生している場合は、Microsoft Security IntelligenceポータルからファイルをMicrosoftに送信し、分析を依頼できます。ファイルの分析依頼方法については、下記ページをご参照ください。 Submit a file for malware analysis.  

よくある質問 (FAQ)

SmartScreenのレピュテーションを構築するにはどれくらいの時間がかかりますか？

Microsoft は、具体的なスレッショルド(しきい値)や期間を公表していません。レピュテーションの確立は、ダウンロード数、インストール成功率、ユーザーの操作履歴、発行元の履歴、ファイルのレピュテーション、Microsoft 独自のレピュテーション指標など、多くの要因に左右されます。

EVコードサイニングは今も必要ですか?

はい。EV証明書は、MicrosoftがEV署名付きアプリケーションがSmartScreenの警告を自動的に回避することを保証しなくなっても、依然として強力な本人確認とセキュリティ保護を提供します。EVコードサイニング証明書で引き続き提供されるメリットをご参照ください。 

DigiCertはSmartScreenの警告を解消できますか？

いいえ。SmartScreenのレピュテーションおよび警告表示の判断は、Microsoft が独自に管理しています。  

更新されたコードサイニング証明書に、以前の証明書のレピュテーションは引き継がれますか？

コードサイニング証明書を更新した場合でも、以前の証明書のレピュテーションが必ず引き継がれるとは限りません。Microsoft は、SmartScreen レピュテーションの引き継ぎに関する詳細な条件を公開していません。