2016 年 7 月 26日首次發(fā)布在 MSDN 上,我們宣布從 Windows 10 發(fā)布開始,所有新的 Windows 10 內(nèi)核模式驅(qū)動(dòng)程序都必須提交到 Windows 硬件開發(fā)人員中心儀表板門戶 (Dev Portal)才能由 Microsoft 進(jìn)行數(shù)字簽名。但是,由于技術(shù)和生態(tài)系統(tǒng)就緒性問題,Windows 代碼完整性未執(zhí)行此規(guī)定,并且僅包含策略聲明。
從 Windows 10 版本 1607 的新安裝開始,操作系統(tǒng)將強(qiáng)制實(shí)施以前定義的驅(qū)動(dòng)程序簽名規(guī)則,并且 Windows 10 版本 1607 不會(huì)加載任何未由開發(fā)門戶簽名的新內(nèi)核模式
驅(qū)動(dòng)程序。操作系統(tǒng)簽名強(qiáng)制僅適用于新的操作系統(tǒng)安裝;從較早的操作系統(tǒng)升級(jí)到 Windows 10 的系統(tǒng),版本 1607 將不受此更改的影響。
我們正在進(jìn)行這些更改,以幫助使 Windows
更安全。這些更改限制了最終用戶系統(tǒng)被惡意驅(qū)動(dòng)程序軟件破壞的風(fēng)險(xiǎn)。
如果您是驅(qū)動(dòng)程序開發(fā)人員,您需要
這樣做:
確保通過 Windows 硬件開發(fā)人員中心儀表板門戶向 Microsoft 提交新的驅(qū)動(dòng)程序。
開始獲取擴(kuò)展驗(yàn)證 (EV) 代碼簽名證書的過程。提交到門戶的所有驅(qū)動(dòng)程序都必須由 EV 證書簽名。
常見問題 解答
確切的例外是什么?交叉簽名的驅(qū)動(dòng)程序是否仍然有效?強(qiáng)制僅在新安裝中執(zhí)行,安全啟動(dòng)打開,并且僅適用于新的內(nèi)核模式驅(qū)動(dòng)程序:
在 Windows 10 版本 1607 之前從 Windows 版本升級(jí)的電腦仍將允許安裝交叉簽名的驅(qū)動(dòng)程序。
具有安全啟動(dòng)關(guān)閉的 PC 仍將允許安裝交叉簽名的驅(qū)動(dòng)程序。
使用 2015 年 7 月 29 日之前頒發(fā)的最終實(shí)體證書簽名的驅(qū)動(dòng)程序?qū)⒗^續(xù)允許將鏈?zhǔn)芥溑c受支持的交叉簽名 CA 進(jìn)行關(guān)聯(lián)。
為了防止系統(tǒng)無法正確啟動(dòng),不會(huì)阻止引導(dǎo)驅(qū)動(dòng)程序,但程序兼容性助手將刪除它們。Windows 的未來版本將阻止引導(dǎo)驅(qū)動(dòng)程序。
總之,對(duì)于未升級(jí)的 Windows 10 版本 1607 與安全啟動(dòng) ON 的新安裝,驅(qū)動(dòng)程序必須由 Microsoft 簽名,或使用 2015 年 7 月 29 日之前頒發(fā)的最終實(shí)體證書,
該證書將鏈?zhǔn)疥P(guān)聯(lián)到受支持的交叉簽名CA。我需要重新簽名這些驅(qū)動(dòng)程序才能讓它們使用 Windows 10 版本 1607 嗎?不可以。
無需重新簽名現(xiàn)有驅(qū)動(dòng)程序。為確保向后兼容性,由 2015 年7 月 29 日之前頒發(fā)的有效交叉簽名證書正確簽名的驅(qū)動(dòng)程序?qū)⒗^續(xù)通過 Windows 10 版本 1607 的簽名檢查。
舊版本的 Windows 呢? 本文中描述的更改僅適用于 Windows 10 版本 1607 。
請(qǐng)注意,Windows 硬件開發(fā)人員中心儀表板門戶將要求使用 EV 代碼簽名證書簽名所有新提交,無論您計(jì)劃使用驅(qū)動(dòng)程序包支持什么操作系統(tǒng)。
如何在開發(fā)和測(cè)試期間對(duì)驅(qū)動(dòng)程序進(jìn)行簽名?
創(chuàng)建測(cè)試簽名證書,電腦打開測(cè)試模式,使用signtool進(jìn)行簽名;具體說明會(huì)在下面的文章有具體介紹
此外,如果安全啟動(dòng)設(shè)置為 OFF,則使用現(xiàn)有交叉簽名證書簽名的驅(qū)動(dòng)程序?qū)⒗^續(xù)有效。
如何對(duì)驅(qū)動(dòng)程序進(jìn)行簽名,以便它與 Windows Vista、Windows 7、Windows 8、Windows 8.1 和 Windows 10兼容? 您只需要運(yùn)行 Windows 10 的 HLK 測(cè)試,并像過去一樣為 Windows 8.1 和早期版本運(yùn)行 HCK 測(cè)試。
然后,使用 Windows 10 HLK,合并兩個(gè)測(cè)試日志,并將驅(qū)動(dòng)程序以及合并的 HLK/HCK 測(cè)試結(jié)果提交到 Windows 硬件開發(fā)人員中心儀表板門戶。門戶將正確對(duì)驅(qū)動(dòng)程序進(jìn)行簽名,以便它在您指示的所有平臺(tái)上工作。
擴(kuò)展驗(yàn)證證書開發(fā)門戶包簽名呢?門戶當(dāng)前要求所有驅(qū)動(dòng)程序提交者將有效的 EV 代碼簽名證書注冊(cè)到其帳戶。
Windows 本身對(duì)驅(qū)動(dòng)程序由 EV 證書簽名沒有任何特殊要求。