在 windows 平台上签署内核模式驱动程序答案

【问题标题】：Signing kernel mode driver on windows platform在 windows 平台上签署内核模式驱动程序
【发布时间】：2020-06-03 09:19:57
【问题描述】：

我有一个在 Windows 10 上使用 Visual Studio 2017 开发的 64 位 PCI KMDF 驱动程序（内核模式）。该驱动程序是使用工具集“WindowsKernelModeDriver10.0”和“桌面”目标平台构建的。

驱动程序要安装在 Windows 10(1809) 上。

作为构建的一部分，驱动程序文件 (.sys) 和目录 (.cat) 文件会自动由系统生成的证书签名。我的问题是

我想从两个文件中删除系统生成的证书。文件不应作为驱动程序构建过程的一部分进行签名。因此，如果在构建过程中我可以使用任何开关选项来防止签名，那将很有帮助。
驱动程序应安装在将分发给全球客户的设备上。对于这种部署场景，对驱动程序的签名过程有什么要求？是否必须通过 Windows 硬件开发人员中心仪表板门户（Dev Portal）来完成？是否需要 EV 代码签名？

【问题讨论】：

另请注意，可以在事后添加其他签名。我见过驱动程序仍然拥有本地开发人员签名证书，然后在发布前使用完全受信任的代码签名证书辞职。

标签： windows driver device signing kmdf

【解决方案1】：

#1，您可以在项目文件中选择停止唱歌或使用不同的证书，参见示例here 和documentation。

#2，如果您希望您的驱动程序在最新的 Windows 10 版本上加载（不使用测试模式或其他注册表调整），并且您希望您的驱动程序在安全启动的系统上加载您必须获得 Microsoft 签名的驱动程序。为此，您必须购买 EV 代码签名更多信息请参考"Signing a Driver for Public Release"页面

【讨论】：