微軟受信任的根計(jì)劃不再支持具有內(nèi)核模式簽名功能的根證書(shū)。
具有內(nèi)核模式代碼簽名功能的現(xiàn)有交叉簽名根證書(shū)將繼續(xù)工作到到期。因此,所有鏈接回這些根證書(shū)的軟件發(fā)布證書(shū)、商業(yè)發(fā)布證書(shū)和商業(yè)測(cè)試證書(shū)也在同一時(shí)間表上失效。要讓您的驅(qū)動(dòng)程序簽名,請(qǐng)首先注冊(cè) Windows 硬件開(kāi)發(fā)中心計(jì)劃。
受信任交叉證書(shū)的到期時(shí)間表是什么?
測(cè)試驅(qū)動(dòng)程序可以選擇哪些交叉簽名證書(shū)的替代方案?
我現(xiàn)有的簽名驅(qū)動(dòng)程序包會(huì)發(fā)生什么情況?
是否有方法在不將其暴露給 Microsoft 的情況下運(yùn)行生產(chǎn)驅(qū)動(dòng)程序包?
我的驅(qū)動(dòng)程序包的每個(gè)新版本是否需要重新提交到硬件開(kāi)發(fā)中心?
2021 年后,我們能否繼續(xù)使用現(xiàn)有第三方頒發(fā)的證書(shū)簽署非驅(qū)動(dòng)代碼?
我是否能夠繼續(xù)使用我的EV證書(shū)向硬件開(kāi)發(fā)中心簽署提交材料?
如何知道我的簽名證書(shū)是否會(huì)受到這些到期的影響?
如何使 Microsoft 測(cè)試簽名自動(dòng)化以處理構(gòu)建過(guò)程?
從 2021 年開(kāi)始,微軟將成為生產(chǎn)內(nèi)核模式代碼簽名的唯一提供商嗎?
硬件開(kāi)發(fā)中心不提供Windows XP的驅(qū)動(dòng)程序簽名,如何讓我的驅(qū)動(dòng)程序在XP中運(yùn)行?
生產(chǎn)簽名選項(xiàng)如何因 Windows 版本而異?
如果我的證書(shū)鏈接到 2021 年后到期的交叉證書(shū), 我是否能夠繼續(xù)簽署驅(qū)動(dòng)程序?
根據(jù)以下時(shí)間表,大多數(shù)交叉簽名根證書(shū)將于 2021 年到期:
Common Name Expiration date
VeriSign Class 3 Public Primary Certification Authority - G5 | 2/22/2021 |
thawte Primary Root CA | 2/22/2021 |
GeoTrust Primary Certification Authority | 2/22/2021 |
GeoTrust Primary Certification Authority - G3 | 2/22/2021 |
thawte Primary Root CA - G3 | 2/22/2021 |
VeriSign Universal Root Certification Authority | 2/22/2021 |
TC TrustCenter Class 2 CA II | 4/11/2021 |
COMODO RSA Certification Authority | 4/11/2021 |
UTN-USERFirst-Object | 4/11/2021 |
DigiCert Assured ID Root CA | 4/15/2021 |
DigiCert High Assurance EV Root CA | 4/15/2021 |
DigiCert Global Root CA | 4/15/2021 |
Entrust.net Certification Authority (2048) | 4/15/2021 |
GlobalSign Root CA | 4/15/2021 |
Go Daddy Root Certificate Authority - G2 | 4/15/2021 |
Starfield Root Certificate Authority - G2 | 4/15/2021 |
NetLock Arany (Class Gold) Fotanúsítvány | 4/15/2021 |
NetLock Arany (Class Gold) Fotanúsítvány | 4/15/2021 |
NetLock Platina (Class Platinum) Fotanúsítvány | 4/15/2021 |
Security Communication RootCA1 | 4/15/2021 |
StartCom Certification Authority | 4/15/2021 |
Certum Trusted Network CA | 4/15/2021 |
COMODO ECC Certification Authority | 4/11/2021 |
制作過(guò)程
WHQL 測(cè)試簽名計(jì)劃
企業(yè) CA 流程
只要驅(qū)動(dòng)包在簽名證書(shū)到期日期之前蓋章,他們將繼續(xù)工作。
否,所有生產(chǎn)驅(qū)動(dòng)程序包必須提交給微軟并由 Microsoft 簽名。
是的,每次重建生產(chǎn)級(jí)別的驅(qū)動(dòng)程序包時(shí),它都必須由 Microsoft 簽名。
是的,這些證書(shū)將繼續(xù)工作,直到它們過(guò)期。使用這些證書(shū)簽名的代碼只能在用戶模式下運(yùn)行,并且不允許在內(nèi)核中運(yùn)行,除非它有有效的 Microsoft 簽名。
是的,EV 證書(shū)將繼續(xù)工作,直到過(guò)期。如果您在簽發(fā) EV 證書(shū)的交叉證書(shū)到期后用 EV 證書(shū)簽署內(nèi)核模式驅(qū)動(dòng)程序,則由此產(chǎn)生的驅(qū)動(dòng)程序?qū)⒉粫?huì)加載、運(yùn)行或安裝。
如果您的交叉證書(shū)鏈以結(jié)尾,則您的簽名證書(shū)將受到影響。Microsoft Code Verification Root
要查看交叉證書(shū)鏈,運(yùn)行。例如:signtool verify /v /kp <mydriver.sys>
是的。
驅(qū)動(dòng)仍可使用第三方簽發(fā)的代碼簽名證書(shū)進(jìn)行簽名。但是,必須將簽署驅(qū)動(dòng)程序的證書(shū)導(dǎo)入目標(biāo)計(jì)算機(jī)上的證書(shū)商店。有關(guān)更多信息,請(qǐng)參閱受信任的發(fā)布者證書(shū)商店。Local Computer Trusted Publishers
Driver runs on | Drivers signed before July 1 2021 by | Driver signed on or after July 1 2021 by |
Windows Server 2008 and later, Windows 7, Windows 8 | WHQL or cross-signed drivers | WHQL or drivers cross-signed before July 1 2021 |
Windows 10 | WHQL or attested | WHQL or attested |
否,內(nèi)核模式驅(qū)動(dòng)程序必須在 2021 年 7 月 1 日之后使用 WHQL 簽名簽名。您不能使用鏈條到 2021 年 7 月 1 日之后到期的交叉證書(shū)來(lái)簽署內(nèi)核模式驅(qū)動(dòng)程序。在此日期之后使用這些證書(shū)簽署內(nèi)核模式驅(qū)動(dòng)程序違反了微軟受信任根計(jì)劃 (TRP) 策略。違反 Microsoft TRP 策略的證書(shū)將被 CA 撤銷。內(nèi)核模式驅(qū)動(dòng)程序上可能存在其他證書(shū),但 Windows 為了驗(yàn)證驅(qū)動(dòng)程序而忽略這些簽名。
轉(zhuǎn)載之微軟官方網(wǎng)站: