微軟軟件發布證書、商業發布證書和商業測試證書的棄用
發布時間：2021-05-20 16:45:41微軟受信任的根(gen)(gen)計(ji)劃不(bu)再支(zhi)持具有(you)內(nei)核模式(shi)簽(qian)名(ming)功能的根(gen)(gen)證書。
具(ju)有(you)內核模式代碼簽名(ming)功(gong)能的(de)現有(you)交叉簽名(ming)根(gen)(gen)證書(shu)將(jiang)繼續(xu)工作到到期。因此，所(suo)有(you)鏈接回這(zhe)些根(gen)(gen)證書(shu)的(de)軟(ruan)件發(fa)布(bu)證書(shu)、商業(ye)發(fa)布(bu)證書(shu)和(he)商業(ye)測(ce)試(shi)證書(shu)也在同一時間表上失效。要讓您的(de)驅動程序簽名(ming)，請首先(xian)注(zhu)冊 Windows 硬件(jian)開(kai)發(fa)中心計劃。
經常問的(de)問題
受信(xin)任(ren)交叉(cha)證書的到期(qi)時間表是什(shen)么？
測試驅(qu)動程序可以選擇哪些交叉簽名(ming)證書的替(ti)代方案(an)？
我(wo)現有的簽名(ming)驅動程序包(bao)會(hui)發生什么情況？
是否有方法在不將其暴露給 Microsoft 的情況下運行生產驅動(dong)程序包？
我(wo)的(de)驅動(dong)程序(xu)包的(de)每個新(xin)版本是否(fou)需要重新(xin)提(ti)交到硬件開發中心？
2021 年后，我們(men)能否繼續使用現(xian)有(you)第三方頒發的證書簽署非驅動代碼？
我(wo)是否能夠繼續使用我(wo)的EV證書向硬件開發(fa)中心(xin)簽署(shu)提交材料？
如何知道我的簽名證(zheng)書是否會受到這些到期(qi)的影響？
如何使 Microsoft 測試簽名自動化以處理(li)構建過程？
從 2021 年開始(shi)，微(wei)軟(ruan)將成為生產內(nei)核模(mo)式代碼簽名的唯一提(ti)供商嗎(ma)？
硬件(jian)開發中心不提供Windows XP的驅動程序簽名，如何讓我的驅動程序在XP中運行？
生產簽名選項如何因 Windows 版(ban)本而(er)異？
如果我的證書鏈接(jie)到 2021 年(nian)后(hou)到(dao)期的交叉證(zheng)書， 我是(shi)否能夠繼續簽署(shu)驅動程序？
受信任(ren)交叉證書的(de)到期時(shi)間(jian)表(biao)是什(shen)么？
根據以下時間表，大多數交叉簽名根證書將于 2021 年到期：
Common Name Expiration date
| VeriSign Class 3 Public Primary Certification Authority - G5 | 2/22/2021 |
| thawte Primary Root CA | 2/22/2021 |
| GeoTrust Primary Certification Authority | 2/22/2021 |
| GeoTrust Primary Certification Authority - G3 | 2/22/2021 |
| thawte Primary Root CA - G3 | 2/22/2021 |
| VeriSign Universal Root Certification Authority | 2/22/2021 |
| TC TrustCenter Class 2 CA II | 4/11/2021 |
| COMODO RSA Certification Authority | 4/11/2021 |
| UTN-USERFirst-Object | 4/11/2021 |
| DigiCert Assured ID Root CA | 4/15/2021 |
DigiCert High Assurance EV Root CA | 4/15/2021 |
| DigiCert Global Root CA | 4/15/2021 |
| Entrust.net Certification Authority (2048) | 4/15/2021 |
| GlobalSign Root CA | 4/15/2021 |
| Go Daddy Root Certificate Authority - G2 | 4/15/2021 |
| Starfield Root Certificate Authority - G2 | 4/15/2021 |
| NetLock Arany (Class Gold) Fotanúsítvány | 4/15/2021 |
| NetLock Arany (Class Gold) Fotanúsítvány | 4/15/2021 |
| NetLock Platina (Class Platinum) Fotanúsítvány | 4/15/2021 |
| Security Communication RootCA1 | 4/15/2021 |
| StartCom Certification Authority | 4/15/2021 |
| Certum Trusted Network CA | 4/15/2021 |
| COMODO ECC Certification Authority | 4/11/2021 |
測試驅動程序可以使(shi)用哪(na)些替代交叉簽名證書的(de)替代方案？
制作過程
WHQL 測(ce)試(shi)簽名計劃
企業 CA 流程
我現有的簽名(ming)驅動程序包會(hui)發(fa)生什(shen)么情(qing)況？
只要驅動包(bao)在簽名證(zheng)書到期日期之(zhi)前蓋章，他(ta)們(men)將繼續工作(zuo)。
是否有(you)方法在不將其(qi)暴露(lu)給 Microsoft 的(de)情況下運行生產驅(qu)動(dong)程(cheng)序包？
否，所有生產驅動程(cheng)序(xu)包必須提交給微軟并(bing)由 Microsoft 簽名(ming)。
驅動程(cheng)序包的每(mei)個新生產版本(ben)是(shi)否需要由 Microsoft 簽(qian)名？
是的(de)，每次重建生(sheng)產級別的(de)驅動程序包時(shi)，它都必(bi)須(xu)由 Microsoft 簽名(ming)。
2021 年后(hou)，我們能否繼(ji)續(xu)使(shi)用(yong)現有第三方頒發(fa)的證書簽署非(fei)驅動代(dai)碼(ma)？
是的，這些證書將(jiang)繼續(xu)工作(zuo)，直到它們(men)過(guo)期。使用(yong)這些證書簽名(ming)的代碼(ma)只能(neng)在(zai)用(yong)戶(hu)模式下運行，并且不允許在(zai)內核(he)中運行，除非它有有效的 Microsoft 簽(qian)名。
我是否能夠繼續使用我的EV證書向(xiang)硬件開發中心簽署提交材料？
是的，EV 證書(shu)將繼續工作，直到(dao)過期。如(ru)果您在簽(qian)發 EV 證書(shu)的交叉證書(shu)到(dao)期后(hou)用 EV 證書簽(qian)署(shu)內核(he)模式驅(qu)動(dong)程序(xu)，則(ze)由此產生(sheng)的驅(qu)動(dong)程序(xu)將不會加載、運行或安裝。
如何(he)知道我的簽名證(zheng)書是(shi)否(fou)會受到(dao)這些到(dao)期的影響？
如果(guo)您的交叉證(zheng)書鏈以結(jie)尾，則(ze)您的簽(qian)名證(zheng)書將(jiang)受到影響(xiang)。Microsoft Code Verification Root
要查看交(jiao)叉證(zheng)書(shu)鏈，運行(xing)。例如：signtool verify /v /kp <mydriver.sys>
從 2021 年開始，微軟將成為生產內核模式代碼簽名的唯一提供商嗎？
是的。
硬件開發中心不提供Windows XP的驅動程序簽名，如何讓我的驅動程序在XP中運行？
驅動仍可使用第(di)三方簽(qian)發的代(dai)碼簽(qian)名(ming)證書(shu)進行簽(qian)名(ming)。但是(shi)，必須將簽(qian)署(shu)驅動程序的證書(shu)導入(ru)目(mu)標(biao)計(ji)算(suan)機上的證書(shu)商店。有關更多信息(xi)，請參(can)閱受信任(ren)的發布者(zhe)證書(shu)商店。Local Computer Trusted Publishers
生產簽名選項如何因 Windows 版本而異？
| Driver runs on | Drivers signed before July 1 2021 by | Driver signed on or after July 1 2021 by |
| Windows Server 2008 and later, Windows 7, Windows 8 | WHQL or cross-signed drivers | WHQL or drivers cross-signed before July 1 2021 |
| Windows 10 | WHQL or attested | WHQL or attested |
我能否繼續為驅動簽名，并簽署一份證書，該證書將鏈條鎖在 2021 年 7 月 1 日之后到期的交叉證書上？
否，內(nei)核(he)模(mo)式(shi)(shi)驅(qu)(qu)動(dong)(dong)(dong)程(cheng)(cheng)序(xu)(xu)(xu)必須(xu)在 2021 年 7 月(yue) 1 日之(zhi)后(hou)使(shi)用 WHQL 簽名(ming)簽名(ming)。您不(bu)能使(shi)用鏈條(tiao)到 2021 年 7 月(yue) 1 日之(zhi)后(hou)到期(qi)的交叉證書(shu)(shu)來簽署(shu)內(nei)核(he)模(mo)式(shi)(shi)驅(qu)(qu)動(dong)(dong)(dong)程(cheng)(cheng)序(xu)(xu)(xu)。在此日期(qi)之(zhi)后(hou)使(shi)用這(zhe)些證書(shu)(shu)簽署(shu)內(nei)核(he)模(mo)式(shi)(shi)驅(qu)(qu)動(dong)(dong)(dong)程(cheng)(cheng)序(xu)(xu)(xu)違(wei)反了微軟受信任(ren)根計劃(hua) （TRP） 策(ce)略(lve)。違(wei)反 Microsoft TRP 策(ce)略(lve)的證書(shu)(shu)將被(bei) CA 撤銷。內(nei)核(he)模(mo)式(shi)(shi)驅(qu)(qu)動(dong)(dong)(dong)程(cheng)(cheng)序(xu)(xu)(xu)上可能存在其他(ta)證書(shu)(shu)，但 Windows 為了驗證驅(qu)(qu)動(dong)(dong)(dong)程(cheng)(cheng)序(xu)(xu)(xu)而忽略(lve)這(zhe)些簽名(ming)。
轉(zhuan)載之微軟官(guan)方網站：