SSLコードサイニング証明書でプログラムに署名した後も「安全ではない」と表示されるのはなぜですか？

問題の背景

以前は、EVコードサイニング証明書であればマイクロソフトSmartScreenのセキュリティ警告を直接解消できました。しかし現在、マイクロソフトは関連する仕組みを調整しており、EVコードサイニング証明書で署名されたプログラムであっても、マイクロソフトDefender SmartScreenの警告が表示される可能性があります。

マイクロソフトの信頼性評価メカニズム

マイクロソフトは新しい更新プログラムをリリースし、現在SmartScreenの信頼性評価は証明書の種類だけで単純に判断されるのではなく、ソフトウェアの使用量やダウンロード数などの総合的な信頼性指標に基づいて判定されるようになりました：

• 新しく署名されたプログラム：EVコードサイニング証明書とOVコードサイニング証明書のどちらを使用していても、初回リリース時にはSmartScreen警告が表示される可能性があります。
• 信頼性の蓄積プロセス：SmartScreen警告が徐々に解消されるには、プログラムの十分なダウンロード数とユーザーの信頼を累積する必要があります。
• EVとOVの違い：マイクロソフトの信頼アルゴリズムでは、EVコードサイニングの重み付けはOVよりも高いため、EVコードサイニングで必要な累積ダウンロード数はOVコードサイニングよりも大幅に少なくなります。

ご説明しておくと、この現象は完全にマイクロソフト側の管理によるものであり、証明書自体の問題ではありません。EV証明書は引き続き最高レベルの検証とセキュリティ保護を提供できますが、以前のようにSmartScreenの警告を自動的に確実に解消することはできなくなりました。

参考資料

マイクロソフト公式ドキュメントをご参照ください：SmartScreenの信頼性評価メカニズム