问题：如何在旧系统上启用KB4474419以支持SHA-2代码签名？

Question

如何在旧系统上手动安装并启用更新KB4474419以支持SHA-2代码签名？部分老旧Windows系统因未预装SHA-2根证书或相关更新，导致无法验证采用SHA-2算法签名的软件。KB4474419正是微软发布的用于增强加密支持、包括SHA-2兼容性的关键更新之一。常见问题包括：如何确认系统是否已应用该更新？若系统已无法通过Windows Update自动获取此补丁（如离线或停服环境），应如何手动下载并正确部署？此外，安装后是否还需调整组策略或注册表设置以启用SHA-2支持？本文将围绕这些问题提供详细解答与操作步骤。

Answer 1

如何在旧系统上手动安装并启用更新 KB4474419 以支持 SHA-2 代码签名

随着现代软件签名机制逐步从 SHA-1 过渡到更安全的 SHA-2 算法，部分老旧 Windows 系统由于未预装 SHA-2 根证书或相关更新，导致无法验证采用 SHA-2 签名的程序。KB4474419 是微软发布的关键补丁之一，用于增强系统的加密支持，特别是对 SHA-2 的兼容性。

1. 确认系统是否已应用 KB4474419 更新

首先需要确认目标系统是否已经安装该更新。可以通过以下方式进行检查：

• 使用命令行查询：

• wmic qfe list | findstr "KB4474419"

• 通过“控制面板”查看已安装的更新：
• 1. 打开“控制面板” → “系统和安全” → “Windows Update”
  2. 点击左侧“查看历史记录”，搜索 KB4474419

2. 手动下载 KB4474419 更新包

对于无法连接 Internet 或已停服的操作系统（如 Windows XP、Windows Server 2003），需手动下载更新文件。操作步骤如下：

1. 访问 Microsoft Update Catalog
2. 搜索 KB4474419
3. 选择适用于目标系统的版本（注意区分 x86/x64）
4. 点击“Download”按钮，保存 .msu 文件至本地

操作系统版本	对应更新链接
Windows 7 SP1	KB4474419 for Win7 SP1
Windows Server 2008 R2 SP1	KB4474419 for WS2008 R2

3. 在离线环境中部署 KB4474419

将更新文件拷贝至目标系统后，执行以下步骤进行安装：

start /w wusa.exe KB4474419-x64.msu /quiet /norestart

若系统提示缺少依赖项，可参考 Microsoft 官方文档确认所需前置更新（如 .NET Framework、MSU 安装器等）。

4. 验证 SHA-2 支持是否启用

安装完成后，建议验证系统是否已正确识别 SHA-2 签名证书：

1. 打开“运行”窗口，输入 certmgr.msc
2. 导航至“受信任的根证书颁发机构”
3. 查找是否存在以下 SHA-2 相关证书：
   • DigiCert Inc
   • GlobalSign Root CA - R2

5. 调整组策略或注册表以启用 SHA-2 支持

某些旧系统可能需要手动调整注册表来强制启用 SHA-2 验证机制。以下是关键注册表路径及配置值：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CryptSvc
设置 Start = 2 （自动启动）

graph TD A[开始] --> B{系统是否在线？} B -- 是 --> C[使用 Windows Update 安装 KB4474419] B -- 否 --> D[手动下载 KB4474419 并拷贝至系统] D --> E[使用 wusa 命令安装更新] E --> F[检查注册表与证书存储] F --> G{是否启用 SHA-2？} G -- 否 --> H[修改注册表或组策略] G -- 是 --> I[完成]