在 Windows 8 中，第三方 INF 驱动程序文件是否需要签名？

Question

我在一家销售 USB 设备并为其提供驱动程序的公司工作。

在 Windows 7 中，您可以为 USB 设备安装和使用未签名的 INF 驱动程序文件，只要它们不向内核添加任何代码即可。我们公司使用微软提供的通用驱动程序（usbser.sys 和winusb.sys），所以我们从来不需要签署我们的驱动程序包。

根据我们的一位客户和另一个 Stack Overflow 问题 What changed in the driver signature requirements for Windows 8? 和 the Arduino forum 的报告，听起来 Windows 8 Consumer Preview 具有更严格的签名要求，需要所有第三方 -方 INF 文件以进行签名。人们在尝试安装适用于 Windows 7 的驱动程序时收到的错误消息是：

第三方 INF 不包含数字签名信息。

Microsoft 的官方声明是什么确认在 Windows 8 的最终版本中仍需要签名？ MSDN.com 上的一两句话就足够了，但我可以'什么都找不到。

我正在考虑购买一个签名证书，但在我支付 200 美元之前，我想确定我是否真的会长期需要它。新的签名要求可能只是在消费者预览版中而不是在真实版本中？

Answer 1

回答我自己的问题：是的，Windows 8 的最终版本确实需要对所有 INF 文件进行签名，但您不需要将驱动程序提交给 WHQL。我在我的文章Practical Windows Code and Driver Signing 中写了这个要求以及更多内容。

Answer 2

它不仅需要对 INF 文件进行签名，还需要使用 WHQL 证书对它们进行签名，这与用于嵌入签名 .sys 文件等的证书不同。在 INF 文件上使用我的代码签名证书根本不起作用。 （与未签名的问题相同。）

编辑：

这就是微软希望您想到的。他们说某些类别的驱动程序必须经过 WHQL 签名，否则它们将无法工作，并且Authenticode 签名仅适用于那些没有 WHQL 流程的人。

事实证明，您可以对驱动程序包进行 Authenticode 签名，但您必须像现在对内核代码一样小心并对其进行签名，这意味着为您的 CA 获取正确的交叉证书（来自 Cross-Certificates for Kernel Mode Code Signing，现在有很多，包括我有的 StartCom（2 类，两年 60 美元，但不能加时间戳）。提供这个交叉证书（与您的 CA 的自签名不同）证书，或者他们的中间证书。它只在那个 MSDN 页面上可用）通过/ac 开关发送给SignTool。

然后使用带有/kp 开关的SignTool 验证，查看您是否正确交叉签名。不带任何开关的 SignTool 验证要求 .cat 文件是 WHQL 签名的，而之前似乎可以的 /pa 开关现在过于宽松，仅适用于非驱动程序签名（如 EXE 文件，@987654326 @等）。

如果您不想获得自己的内核级签名证书（坦率地说，现在比以前更容易了，在它仅限于 VeriSign 超级昂贵的 GlobalSign 每年 200 美元的证书之前，我猜微软看到没有多少人为 x64 系统编写内核级漏洞利用），您可以制作一个自签名根 CA，让您的驱动程序安装程序安装 将其放入 LocalMachine 的“受信任的根证书颁发机构”存储中（请参阅 certmgr.exe），然后安装由其签名的 .cat 文件。当然，由于这不是内核级代码证书，因此您必须仅使用已经具有来自其他人的嵌入式内核级代码证书的 .sys 文件（这意味着您只能修改驱动程序包中的 .inf 文件） .显然，有一些漏洞允许自签名证书签署 .cat 文件（如果您创建了自己的 CA，然后用它签署了证书，然后用它签署了您的 .cat 文件，它不会像这样工作）。

对于为其制作的每个驱动程序 INF 包执行此操作的套件，请参阅 libwdi，以及它们在 cat 文件上的自签名证书如何允许在 Windows 8 上安装。

EDIT2：

删除了 CERTUM“开源”开发人员证书提及，因为它未经 Microsoft 交叉认证（您获得的不是 Microsoft 交叉认证的 Certum TRUSTED NETWORK 证书）。