微软操作系统硬件驱动数字签名指南和代码签名证书选购指南

本指根据微软网站上有关资料翻译和整理，请同时参考微软网站以下英文原文：

•  内核模式驱动签名要求小结： http://www.microsoft.com/whdc/winlogo/drvsign/drvsign_perOS.mspx

•  Windows 驱动签名要求： http://www.microsoft.com/whdc/winlogo/drvsign/drvsign.mspx

•  Windows Vista x64 位系统的内核模式数字签名：http://www.microsoft.com/whdc/system/platform/64bit/kmsigning.mspx

•  Windows Vista 内核模式签名指南：http://www.microsoft.com/whdc/winlogo/drvsign/kmcs_walkthrough.mspx

•  Windows Vista 即插即用设备 (PnP) 驱动签名指南： http://www.microsoft.com/whdc/winlogo/drvsign/pnp-driver.mspx

•  Windows Vista 内核模式签名交叉证书使用指南：http://www.microsoft.com/whdc/winlogo/drvsign/crosscert.mspx

•  Windows Vista PMP 签名指南： http://www.microsoft.com/whdc/winlogo/drvsign/Pmp-sign.mspx

•  Windows 系列操作系统驱动签名基础知识：http://www.microsoft.com/whdc/winlogo/drvsign/best_practices.mspx

并请同时参考：微软徽标认证常见问题问答：http://www.willrey.com/support/FAQ_Designed_for_Windows_Logo.html

    对于电脑硬件设备制造商或相关软件开发商的 CTO/CSO 以及相关工程师的确有必要仔细阅读以上 8 个文档，非常重要的，只可惜微软没有提供相应的中文文档。简单总结一下有关驱动签名和相关代码签名证书如何选购的文档，由于时间和专业所限，本指南仅供参考，以微软网站上的文档为准。

一、Windows 驱动代码签名证书选购指南

二、驱动签名基础知识

    驱动签名的目的有两个：一是确保驱动代码没有被非法篡改，二是确保驱动代码的来源可信 ( 驱动开发商身份已经通过权威的第三方验证 ) ，从而保护了驱动代码的完整性、保护了用户不会被病毒、恶意代码和间谍软件所侵害。

    请注意区分：硬件驱动签名与硬件徽标认证，前者是出于系统安全考虑，而后者则着重于市场推广。当然，通过徽标认证一定是已经签名的，而并非所有硬件签名都需要通过徽标认证。当然，要申请徽标认证，首先要申请徽标认证证书来证明制造商的身份和提交已经签名的驱动。

鉴于微软操作系统种类和版本繁多，不同的系统对硬件签名的要求也不同。本表仅针对内核模式即插即用设备的驱动 (K ernel-mode Plug and Play drivers ) ，操作系统包括 Windows 2000 、 XP 、 2003 Server 和 Vista 。

注 *1 ：仅针对即插即用的驱动，如果是非即插即用的驱动，请参考其他相关文档；

注 *2 ：缺省情况下，系统会警告普通用户和管理员用户建议取消安装。系统管理员可以修改缺省设置为不允许或允许没有签名或自签的驱动；

注 *3 ：可以使用 DifX 工具来安装没有签名或自签的驱动；

注 *4 ：不可以使用 DifX 工具来安装没有签名或自签的驱动；

注 *5 ：只允许管理员用户在 Windows Vista - x86 上 用户安装没有签名或自签的驱动；

注 *6 ：没有签名或自签的驱动只能用于 x-64 位测试机，没有签名或自签的驱动是不允许在其他 x-64 位操作系统上安装的 ( 即使是系统管理员用户也不允许 ) ；

注 *7 ：请参见如下文档“ Windows Vista 驱动签名其他要求”；

注 *8 ：不仅需要签名，同时还需要使用交叉认证的证书签名； Boot-start 驱动必须 embedded signed ，同时还要签 catalog 文件；

注 *9 ：系统信任徽标认证签名的驱动，无论是系统管理员用户还是普通用户安装都是没有任何警告的。

注：相关术语

    * Boot-start 驱动：指在系统启动过程中调入的驱动程序；

    * 有效代码签名：指 Windows 所信任的根证书颁发的代码签名证书的签名

    * 自签证书签名：指签名使用的证书并不是 Windows 所信任的根证书颁发的代码签名证书的签名，如：使用开发工具中的 MakeCert 工具创建的签名证书；

    * 交叉认证证书签名：指签名时不仅要使用 Windows 所信任的根证书颁发的代码签名证书，还要使用微软签发给这些根证书颁发机构的交叉证书一起签名；

    * PMP 签名：指用于用户模式 (User-mode) 下 PMP 有关驱动签名；内核模式并不需要此类签名；

    * embedded-signed(内嵌签名) ：指驱动中的二进制文件的签名

 Windows Vista 驱动签名要求主要根据是否为 即插即用驱动和安装在 x86 还是 x64 操作系统上而不同，具体总结如下：

1. 即插即用驱动 (Plug and Play Driver )

    即插即用 (PnP) 驱动的安装取决于是否已经签名，如果已经签名，则取决于管理员的信任级别设定。普通用户是可以安装以下列表中的前两类驱动，而只有管理员用户才可以选择是否安装以下列表中的后两类驱动，普通用户是不允许安装后两类驱动的。

    (1) 徽标认证签名的驱动：所有用户都允许安装，没有任何警告；

    (2) 受信任的发行者签名的驱动：所有用户都允许安装，没有任何警告；此发行者必须在“受信任的发行者”中列出；

    (3) 受信任的代码签名证书签名的驱动：有警告，仅允许管理员用户选择是否安装，并可以添加发行者名称到“受 信任的发行者 ”中，以便普通用户也可以安装；

    (4) 没有签名或驱动程序被篡改的驱动：有警告，仅允许管理员用户选择是否安装。主要包括：

        * 驱动包中未含有已经签名的目录文件 (catalog file); 已经签名但签名证书不是 Windows 所信任的根证书颁发的；或签名不正确；

        * 已经签名的文件已经被篡改，使得签名无效。

    当一个新的即插即用设备被安装时，系统会选择最合适的驱动，即根据签名打分的高低来决定，优先选择分数高的驱动，具体排名如下：

    (1) 有微软签名的，包括：

        * 优先级别 (Premium) 和标准级别 (Standrd) 的 WHQL 签名；

        * Inbox 驱动签名 ( Signatures for inbox drivers ) ；

        * 可靠驱动签名 (DRS, Driver Reliability Signature);

        * SE 签名 (Windows Sustained Engineering);

        * 老版本 Windows 的 WHQL 签名；

    (2) 有效代码签名，系统管理员可以设定安全策略来指定受信任的根证书颁发的微软代码签名证书的签名等同于微软签名；

    (3) 没有签名的驱动，但 INF DDInstall 中有 .nt 文件；

    (4) 没有签名的驱动，但 INF DDInstall 中没有 .nt 文件；

    (5) 没有签名或签名有问题而无法确认是否有签名的驱动。

2. 下一代多媒体 (Next Generation Media)

    Windows Vista 允许获得 AACS 许可 ( Advanced Access Content System ) 的下一代多媒体格式 ( 如： HD DVD) 和其他格式的回放 (Playback) 。为了能访问这些格式的文件，系统和硬件提供商必须满足如下代码签名要求：

    (1) Windows 会列出所有未签名的设备，由 ISV( 独立软件开发商 ) 决定是否使用此设备；

    (2) PMP 签名 ( Protected Media Path ) 不同于内核模式签名，虽然内核模式硬件并不要求 PMP 签名，但当安装包使用 PMP-PE 证书签名后， Windows Vista 会认为此内核模式的驱动时可信任的；

    (3) 非即插即用的用户模式驱动在 PMP 方式下也必须签名，而普通的非即插即用的用户模式驱动只是推荐而不是必须，用户模式驱动可以只签名二进制文件或签名目录文件；

    (4) 显示设备必须签名二进制文件 (embedded signed) ，以便与视频处理引擎的可靠通信。

3. Windows Vista – 64 位

    对于 64 位的 Windows Vista ，有更严格的签名要求：

    (1) Boot-start 驱动必须签名目录文件和所有二进制文件；

    (2) 自签证书或非 Windows 信任的根证书颁发的代码签名证书只能用于测试机；

    (3) 未签名的驱动只能用于测试机 ( 启动时按 F8) ；

    (4) 非即插即用驱动必须签名二进制或目录文件，并且必须使用微软指定的证书颁发机构颁发的微软代码签名证书，而且签名时还要使用微软颁发的相应的交叉证书。