微軟驅動程序簽名策略的小知識
發布時間：2020-08-30 11:02:15備注
從 Windows 10 版本1607開(kai)始(shi)，Windows 將不會加載開發人員門(men)戶(hu)未簽名的任(ren)何新的內(nei)核模式驅動程(cheng)序。 若要對驅動程序(xu)進行簽名，請首先注(zhu)冊 Windows 硬(ying)件(jian)開發人員中心計劃。 請注意(yi)，需要使用EV 代碼簽名證(zheng)書來(lai)建立(li)儀表板帳戶(hu)。
可以通過多種不同(tong)的方式將(jiang)驅動(dong)程序(xu)提(ti)交到門戶。 對于生產驅動程序，應按(an)如下所述提交 HLK/HCK 測試日志。 對(dui)于僅限 Windows 10 客戶端的系統(tong)進行(xing)測試(shi)，你可以提交用于證(zheng)明簽名的驅動程序(xu)，這不需要進行(xing) HLK 測試。 或者(zhe)，你可以(yi)提交你的驅動程序以(yi)進行測試簽名，如創(chuang)建新的硬件提交頁中所(suo)述。
例外的情況
如果(guo)滿足以下任一條(tiao)件，則仍允許交叉簽(qian)名的驅動程(cheng)序：
· 計(ji)算機(ji)已從 Windows 的早期版本(ben)升級(ji)到版本(ben)1607。
· 安全(quan)啟動在 BIOS 中處于關(guan)閉狀態。
· 驅動程序(xu)已使用在2015年7月29日之前頒發(fa)的(de)最終(zhong)實體證書(shu)進行簽名，該證書(shu)鏈接到(dao)受支(zhi)持的(de)交叉簽名 CA。
為了防止系統無法正常啟動(dong)，啟動(dong)驅動(dong)程序將(jiang)不會被(bei)阻止，但會被(bei)程序兼容性助(zhu)手刪(shan)除。
為 Windows 客戶端版本的驅動簽名
若要(yao)簽(qian)署適(shi)用于 Windows 10 的(de)驅動程序(xu)，請執(zhi)行以下(xia)步(bu)驟：
1. 對于要在其上驗證的每(mei)個版本(ben)的 Windows 10，下載適用于該版本(ben)的(de) Windows HLK (硬件實(shi)驗室(shi)包) ，并針(zhen)對該版本的客戶端運行(xing)完整(zheng)的證書(shu)傳遞(di)。 每個(ge)(ge)版本都有(you)一個(ge)(ge)日志(zhi)。
2. 如果有多個日志，請(qing)使用(yong)最新的(de) HLK 將它(ta)們合并到單個日志中。
3. 將驅動程序和合(he)并(bing)的 HLK 測試結果提交(jiao)給(gei)Windows 硬件開發人員中心儀(yi)表(biao)板門戶。
若要對 Windows 7、Windows 8 或 Windows 8.1 的驅(qu)動程序進行簽名(ming)，請使(shi)用相應的 HCK (硬件認證工(gong)具包) 。 有(you)關詳細信息(xi)，請(qing)參閱Windows 硬(ying)件認(ren)證包用戶指南(nan)。
為(wei) Windows 早期版(ban)本(ben)的(de)驅動程序(xu)簽名
在(zai) Windows 10 1607 版(ban)之(zhi)前，以下類型的(de)驅動程序需(xu)要(yao)與 Microsoft 的交叉(cha)證書結合使用的驗(yan)證碼證書來進行交叉(cha)簽名(ming)：
· 內核(he)模式設備驅動程序
· 用(yong)戶模(mo)式設備驅(qu)動程(cheng)序(xu)
· 流式處理受保(bao)護內容的(de)驅動程序。 這包括使用(yong)受保護(hu)的用(yong)戶(hu)模式音頻 (PUMA) 的音(yin)頻驅動(dong)程(cheng)序(xu)和(he)用于處理(li)受保護視(shi)頻路徑-輸(shu)出保護管理的視(shi)頻設(she)備驅動程序) (用(yong)于處(chu)理受(shou)保護視(shi)頻路徑(jing)-輸出(chu)保護管(guan)理(li) (命令。 有(you)關詳(xiang)細信息(xi)，請參閱受保護媒體(ti)組(zu)件的代碼(ma)簽名(ming)。
按版本的(de)簽名要求
下表顯(xian)示了客(ke)戶端操作系(xi)統(tong)版本(ben)的簽名策略。
適用于(yu) | Windows Vista、Windows 7;Windows 8 +，并關閉安全啟動 | Windows 8、Windows 8.1、Windows 10、版本1507、1511、安全啟(qi)動 | Windows 10 版(ban)本(ben)1607、1703、1709、安全(quan)啟(qi)動 | Windows 10，版本 1803 +，啟(qi)(qi)用(yong)安(an)全啟(qi)(qi)動(dong) |
架構 | 僅限(xian)64位，無需32位的簽名 | 64位，32位 | 64位，32位 | 64位，32位(wei) |
需要簽名 | 嵌入文件或目錄文件 | 嵌入文(wen)(wen)件(jian)或目錄文(wen)(wen)件(jian) | 嵌入文(wen)件或目錄文(wen)件 | 嵌入文件或目錄文件 |
簽名算(suan)法 | SHA2 | SHA2 | SHA2 | SHA2 |
證書(shu) | 受代(dai)碼完整(zheng)性信任的標(biao)準根 | 受代碼(ma)完整性信任的標準(zhun)根 | Microsoft 根證(zheng)書頒發機構2010，microsoft 根證書(shu)頒發機構(gou)，Microsoft 根(gen)證書頒發機構 | Microsoft 根(gen)證書頒(ban)發機構(gou)2010，microsoft 根(gen)證書頒發機(ji)構，Microsoft 根證書頒發機構 |
除驅動程序(xu)代碼簽(qian)名(ming)外，還需要滿足用于安裝驅動程序(xu)的 PnP 設備安裝簽名要求(qiu)。
有關(guan)對 ELAM 驅(qu)動(dong)程(cheng)序(xu)簽名(ming)，必須(xu)通過硬(ying)件儀表盤簽名(ming)（WHQL）才能(neng)正常運行
- 上一篇： 數字簽名的小知識
- 下一篇： Windows 10 版本 1607 及以后版本的驅動簽名策略更改說明