2016 年 7 月 26日首次發(fā)布在 MSDN 上,我們宣布從 Windows 10 發(fā)布開始,所有新的 Windows 10 內(nèi)核模式驅(qū)動程序都必須提交到 Windows 硬件開發(fā)人員中心儀表板門戶 (Dev Portal)才能由 Microsoft 進行數(shù)字簽名。但是,由于技術(shù)和生態(tài)系統(tǒng)就緒性問題,Windows 代碼完整性未執(zhí)行此規(guī)定,并且僅包含策略聲明。
從 Windows 10 版本 1607 的新安裝開始,操作系統(tǒng)將強制實施以前定義的驅(qū)動程序簽名規(guī)則,并且 Windows 10 版本 1607 不會加載任何未由開發(fā)門戶簽名的新內(nèi)核模式
驅(qū)動程序。操作系統(tǒng)簽名強制僅適用于新的操作系統(tǒng)安裝;從較早的操作系統(tǒng)升級到 Windows 10 的系統(tǒng),版本 1607 將不受此更改的影響。
我們正在進行這些更改,以幫助使 Windows
更安全。這些更改限制了最終用戶系統(tǒng)被惡意驅(qū)動程序軟件破壞的風險。
如果您是驅(qū)動程序開發(fā)人員,您需要
這樣做:
確保通過 Windows 硬件開發(fā)人員中心儀表板門戶向 Microsoft 提交新的驅(qū)動程序。
開始獲取擴展驗證 (EV) 代碼簽名證書的過程。提交到門戶的所有驅(qū)動程序都必須由 EV 證書簽名。
常見問題 解答
確切的例外是什么?交叉簽名的驅(qū)動程序是否仍然有效?強制僅在新安裝中執(zhí)行,安全啟動打開,并且僅適用于新的內(nèi)核模式驅(qū)動程序:
在 Windows 10 版本 1607 之前從 Windows 版本升級的電腦仍將允許安裝交叉簽名的驅(qū)動程序。
具有安全啟動關(guān)閉的 PC 仍將允許安裝交叉簽名的驅(qū)動程序。
使用 2015 年 7 月 29 日之前頒發(fā)的最終實體證書簽名的驅(qū)動程序?qū)⒗^續(xù)允許將鏈式鏈與受支持的交叉簽名 CA 進行關(guān)聯(lián)。
為了防止系統(tǒng)無法正確啟動,不會阻止引導(dǎo)驅(qū)動程序,但程序兼容性助手將刪除它們。Windows 的未來版本將阻止引導(dǎo)驅(qū)動程序。
總之,對于未升級的 Windows 10 版本 1607 與安全啟動 ON 的新安裝,驅(qū)動程序必須由 Microsoft 簽名,或使用 2015 年 7 月 29 日之前頒發(fā)的最終實體證書,
該證書將鏈式關(guān)聯(lián)到受支持的交叉簽名CA。我需要重新簽名這些驅(qū)動程序才能讓它們使用 Windows 10 版本 1607 嗎?不可以。
無需重新簽名現(xiàn)有驅(qū)動程序。為確保向后兼容性,由 2015 年7 月 29 日之前頒發(fā)的有效交叉簽名證書正確簽名的驅(qū)動程序?qū)⒗^續(xù)通過 Windows 10 版本 1607 的簽名檢查。
舊版本的 Windows 呢? 本文中描述的更改僅適用于 Windows 10 版本 1607 。
請注意,Windows 硬件開發(fā)人員中心儀表板門戶將要求使用 EV 代碼簽名證書簽名所有新提交,無論您計劃使用驅(qū)動程序包支持什么操作系統(tǒng)。
如何在開發(fā)和測試期間對驅(qū)動程序進行簽名?
創(chuàng)建測試簽名證書,電腦打開測試模式,使用signtool進行簽名;具體說明會在下面的文章有具體介紹
此外,如果安全啟動設(shè)置為 OFF,則使用現(xiàn)有交叉簽名證書簽名的驅(qū)動程序?qū)⒗^續(xù)有效。
如何對驅(qū)動程序進行簽名,以便它與 Windows Vista、Windows 7、Windows 8、Windows 8.1 和 Windows 10兼容? 您只需要運行 Windows 10 的 HLK 測試,并像過去一樣為 Windows 8.1 和早期版本運行 HCK 測試。
然后,使用 Windows 10 HLK,合并兩個測試日志,并將驅(qū)動程序以及合并的 HLK/HCK 測試結(jié)果提交到 Windows 硬件開發(fā)人員中心儀表板門戶。門戶將正確對驅(qū)動程序進行簽名,以便它在您指示的所有平臺上工作。
擴展驗證證書開發(fā)門戶包簽名呢?門戶當前要求所有驅(qū)動程序提交者將有效的 EV 代碼簽名證書注冊到其帳戶。
Windows 本身對驅(qū)動程序由 EV 證書簽名沒有任何特殊要求。