ClickOnce で SHA384 / SHA512 を使用した署名時に「不明な公開元」と表示される事象について

Last Update:
このエントリーをはてなブックマークに追加

こんにちは、Japan Developer Support Core チームの松井です。 今回は、ClickOnce アプリケーションを SHA384 または SHA512 のアルゴリズムでタイムスタンプを付与して配布した際に、環境によっては公開元が「不明な公開元」と表示される事象についてご案内します。

事象

ClickOnce アプリケーションのインストール時に表示される信頼プロンプトで、公開元が想定した発行者名ではなく「不明な公開元」と表示される場合があります。

ClickOnce 信頼プロンプトで不明な公開元と表示される

発生条件

次の条件を満たす場合に発生することが確認されています。

  1. 配布している ClickOnce アプリケーションで、SHA384 または SHA512 を使用したタイムスタンプが付与されている
  2. インストール先の環境に .NET Framework の累積更新プログラムが適用されていない (OS バージョン毎のリリース月は 対処方法 セクションの表を参照)

原因

ClickOnce はリリースされた当時より新しい暗号アルゴリズムへの対応を継続的に行ってきましたが、SHA384 および SHA512 を使用したタイムスタンプの検証への対応は、2026 年 1 月の累積更新プレビュー以降で順次導入されました。更新プログラムが適用されていない環境ではこれらのアルゴリズムを使用したタイムスタンプを正しく評価できないため、署名の検証に失敗して「不明な公開元」と表示される場合があります。

なお、プロジェクト構成や発行手順を変更していないにも関わらず、ある時点以降で発行した ClickOnce アプリケーションにおいて本事象が発生するようになったケースが弊社へのお問い合わせで報告されています。そのような場合は、タイムスタンプ サーバー側で SHA256 から SHA384 などのより強いアルゴリズムへの移行が行われたことに起因して本事象が発生した可能性が考えられます。

対処方法

.NET Framework の更新プログラムは累積的であるため、最新の累積更新プログラムを適用することで SHA384 および SHA512 を使用したタイムスタンプの検証に対応するための修正が適用され、信頼プロンプトで正しい発行者情報が表示されるようになります。最新の更新プログラムは .NET Framework のリリースノートをご確認ください。

なお、修正が導入されたリリース月は OS バージョンによって異なります。

OS バージョン リリース月
Windows 11 version 24H2 および Windows 11 version 25H2 2026 年 1 月の累積更新プレビュー
Windows 11 version 26H1 2026 年 2 月の累積更新プログラム
その他のバージョン 2026 年 4 月の累積更新プログラム

※ SHA256 で再署名した配布物を提供することも回避策となり得ますが、Visual Studio や mage ツールではタイムスタンプのアルゴリズムを選択できないため、タイムスタンプ サーバーの動作に依存する点にご留意ください。

確認ポイント

切り分け時は、以下を確認すると判断しやすくなります。

  1. インストール先に最新の .NET Framework 累積更新が適用されているか
  2. 配置マニフェスト (*.application) の署名のタイムスタンプ アルゴリズムに SHA384 / SHA512 が使われていないか
  3. 更新適用後、または SHA256 で再署名した配布物で事象が解消するか

以下の PowerShell スクリプトは、配置マニフェスト (*.application) の署名のタイムスタンプ アルゴリズムを確認するための例です。$file 変数に配置マニフェストのパスを指定して実行してください。DigestAlg に SHA384 または SHA512 が表示されている場合は、タイムスタンプにこれらのアルゴリズムが使用されていることになります。

1
2
3
4
5
6
7
8
$file = '配置マニフェスト (*.application) のパス'
$xml = Get-Content -Raw -LiteralPath $file
$m = [regex]::Match($xml, '<(?:\w+:)?Timestamp>(.*?)</(?:\w+:)?Timestamp>', 'Singleline')
$bytes = [Convert]::FromBase64String($m.Groups[1].Value)
$cms = New-Object System.Security.Cryptography.Pkcs.SignedCms
$cms.Decode($bytes)
$si = $cms.SignerInfos[0]
"DigestAlg : $($si.DigestAlgorithm.FriendlyName)`nOID : $($cms.ContentInfo.ContentType.Value)`nTSA : $($si.Certificate.Subject)"

補足

「不明な公開元」が表示される要因は本件以外にもあります。本件以外の一般的な要因については、以下の記事もあわせてご参照ください。

ClickOnce 信頼プロンプトで公開元が"不明な公開元です。"として表示される場合の原因と対処方法

本ブログの内容は弊社の公式見解として保証されるものではなく、開発・運用時の参考情報としてご活用いただくことを目的としています。もし公式な見解が必要な場合は、弊社ドキュメント (https://learn.microsoft.com や https://support.microsoft.com) をご参照いただくか、もしくは私共サポートまでお問い合わせください。