Windows 10 版本 1607 及以后版本的驅動簽名策略更改說明
發布時間：2020-08-31 12:06:532016 年 7 月 26日首次發布在(zai) MSDN 上，我們宣布從 Windows 10 發布開始，所(suo)有新的 Windows 10 內核(he)模(mo)式(shi)驅(qu)動程序都(dou)必須(xu)提交(jiao)到 Windows 硬(ying)件(jian)開發人員中心儀表(biao)板門戶 （Dev Portal）才能由 Microsoft 進行數字簽名。但是，由于技術和生態系統就緒性問題，Windows 代碼完整性未執行此規(gui)定，并且僅(jin)包(bao)含策(ce)略聲明。
從 Windows 10 版本 1607 的新安裝開始，操作系統將強制實施(shi)以前定義(yi)的驅動程序(xu)簽名規則，并且 Windows 10 版本 1607 不會(hui)加載任何(he)未由開發門戶(hu)簽名的新內核模式
驅動程序。操作系(xi)統簽名強(qiang)制僅適(shi)用于新(xin)的(de)操作系(xi)統安裝;從(cong)較早的(de)操作(zuo)系統升級到 Windows 10 的系(xi)統，版本 1607 將不受此更(geng)改的影響。
我們正在進行這些更改，以幫助使 Windows
更安全(quan)。這些更改限制了最終用(yong)戶系統被惡意驅動(dong)程序軟件破壞的風險。
如(ru)果您(nin)是驅(qu)動程序開發人(ren)員，您(nin)需要
這(zhe)樣做：
確保通過 Windows 硬件開發人員中心儀表板門戶向(xiang) Microsoft 提交新的(de)驅動程(cheng)序。
開始獲取擴展驗證 （EV） 代碼簽名證書的過(guo)程。提(ti)交到門戶的(de)所有驅動程序(xu)都必須由 EV 證書(shu)簽(qian)名。
常見問(wen)題(ti) 解答(da)
確(que)切的(de)例外是什么？交叉簽名(ming)的(de)驅動(dong)程序(xu)是否仍然有效？強制僅在新安裝中執行，安全啟(qi)動打開，并且(qie)僅適用于新的(de)內核模式驅(qu)動程(cheng)序：
在 Windows 10 版本(ben) 1607 之前從(cong) Windows 版本升級的電腦仍將允許安(an)裝交叉(cha)簽名的驅(qu)動程序。
具有安(an)全(quan)啟動關閉的 PC 仍將(jiang)允許安(an)裝交叉簽(qian)名的驅動程序。
使用 2015 年 7 月(yue) 29 日之前頒(ban)發的最終實(shi)體證書(shu)簽(qian)名的驅動程序將(jiang)繼(ji)續允許將(jiang)鏈式鏈與受支持的交叉(cha)簽(qian)名 CA 進行關(guan)聯(lian)。
為了防(fang)止系統無法(fa)正確啟動(dong)，不會阻止引導(dao)驅動(dong)程序(xu)，但程序(xu)兼容性助手將(jiang)刪除它(ta)們。Windows 的(de)未來版本(ben)將(jiang)阻止(zhi)引導驅動程(cheng)序(xu)。
總(zong)之，對(dui)于未升(sheng)級的 Windows 10 版本 1607 與安全啟動 ON 的新安(an)裝，驅動程序必須由 Microsoft 簽(qian)名，或使用 2015 年 7 月 29 日(ri)之前頒(ban)發的最終實體(ti)證(zheng)書，
該(gai)證書將鏈式關聯到受支持(chi)的(de)交叉簽名CA。我需要(yao)重(zhong)新簽名這些驅(qu)動程序才能讓它們(men)使(shi)用 Windows 10 版本 1607 嗎？不可以。
無需(xu)重新簽(qian)名現有(you)驅動程序。為確保向后兼容性，由 2015 年(nian)7 月 29 日之前頒發的有(you)效交叉簽(qian)(qian)名證書正確簽(qian)(qian)名的驅(qu)動程(cheng)序將繼續通過 Windows 10 版本 1607 的簽名檢查(cha)。
舊版本的 Windows 呢？ 本文(wen)中描述的(de)更改僅(jin)適用于 Windows 10 版本(ben) 1607 。
請注(zhu)意(yi)，Windows 硬件開發人員中心儀表(biao)板(ban)門戶將要求使用 EV 代碼簽名證書簽名所有新提(ti)交，無論您計(ji)劃使(shi)用驅動程(cheng)序包支持什么操作系(xi)統。
如何在開(kai)發(fa)和測試期間對(dui)驅動程序進(jin)行簽名？
創建測試(shi)簽名證書(shu)，電腦打開(kai)測試(shi)模(mo)式，使(shi)用signtool進行(xing)簽名；具(ju)體(ti)說明會在下面的文(wen)章有(you)具(ju)體(ti)介紹
此外(wai)，如(ru)果安(an)全(quan)啟動設(she)置為(wei) OFF，則使用現有交叉簽名證書簽名的驅動程(cheng)序(xu)將繼續有效。
如何對驅動程序進(jin)行簽(qian)名，以便它與 Windows Vista、Windows 7、Windows 8、Windows 8.1 和 Windows 10兼容(rong)？ 您只需要運(yun)行 Windows 10 的 HLK 測試，并像(xiang)過去一樣為 Windows 8.1 和早期版(ban)本運行 HCK 測試。
然后，使用(yong) Windows 10 HLK，合并兩個測試(shi)日志，并將(jiang)驅動程序以及合并的 HLK/HCK 測試結果提交(jiao)到 Windows 硬(ying)件開發(fa)人員中心儀表板(ban)門戶(hu)。門戶(hu)將正確對(dui)驅動程序進行簽名，以便它(ta)在您指(zhi)示的(de)所有平臺上工作。
擴展驗證(zheng)證(zheng)書開發門戶包(bao)簽名(ming)呢？門(men)戶當(dang)前要求(qiu)所有(you)驅動程序提(ti)交者(zhe)將有(you)效的 EV 代碼簽(qian)名證(zheng)書注冊到其帳戶。
Windows 本(ben)身對(dui)驅動程序由(you) EV 證書(shu)簽名沒有任何特殊(shu)要求。
- 上一篇： 微軟驅動程序簽名策略的小知識
- 下一篇： 如何在開發和測試期間對驅動程序進行簽名