Windows Vista 開始，基于 x64 的 Windows 版本要求在內核模式下運行的所有軟件（包括驅動程序）進行數字簽名才能加載。未簽名的驅動程序被系統阻止，數字簽名可確保驅動程序已由受信任的開發人員或供應商發布，并且其代碼未被修改。

什么是內核模式驅動簽名？

操作系統中的內核模式表示操作系統上所有其他程序所依賴的核心程序。使用此模式的基本目的是訪問操作系統的硬件組件并計劃將運行系統的進程。即使是常規程序，當它們必須訪問計算機硬件時，也必須通過內核模式建立連接。

內核模式旨在驗證在系統上運行我們的程序和軟件的驅動程序包的代碼，內核模式代碼的簽名文件在安全目錄（CAT 文件）中受到保護。對此證書進行簽名的目的是創建一個策略，在該策略中，內核模式驅動程序必須始終加載才能使系統平穩運行。

內核模式驅動程序簽名認證過程取決于操作系統的版本。內核模式代碼具有.sys擴展名，若要正確加載這些驅動程序，必須使用安全目錄 （CAT） 對它們進行有效簽名。因此，引入操作系統的任何驅動程序都需要獲得數字簽名進行驗證。

如何為驅動程序簽名，完成WHQL認證？

由于微軟提升驅動程序簽名要求，以往只需要采用微軟交叉根簽名的證書頒發機構提供的EV代碼簽名證書簽名驅動程序，即可完成驅動簽名認證，但從 Windows 10 開始，如果新的內核模式驅動程序未由Windows開發人員門戶提供簽名，則系統不會加載它們。微軟已停止繼續給證書頒發機構簽發交叉根證書，驅動程序必須提交微軟開發人員門戶進行WHQL測試認證，獲取微軟數字簽名后才能正常加載。申請WHQL認證主要有以下幾個步驟，如圖所示：

沃通CA提醒開發者，驅動程序提交微軟WHQL認證的流程中，仍需申請EV代碼簽名證書，這是必備項目！賬戶注冊過程及驅動程序提交前，需要使用微軟指定證書頒發機構提供的EV代碼簽名證書進行簽名。

（1）賬戶注冊需要：驅動程序開發者必須通過 Windows 硬件開發人員中心門戶向微軟提交新驅動程序。而Windows 硬件開發中心賬戶注冊過程，必須使用 EV 代碼簽名證書簽名指定文件，才能完成賬戶注冊。

（2）驅動簽名需要：完成微軟測試認證后，WHQL 僅對驅動程序包目錄文件進行簽名，但不將簽名嵌入驅動程序文件。所有驅動程序提交到硬件開發人員門戶之前，必須先使用 EV 代碼簽名證書進行簽名。

沃通提供的EV代碼簽名證書Pro及EV代碼簽名證書兩款產品，都是由微軟指定的證書頒發機構簽發，符合微軟要求。沃通還提供配套的WHQL認證服務，“EV代碼簽名證書 + WHQL認證服務”一站式解決驅動程序簽名及WHQL認證的需求，幫助開發者快速完成認證。

根據微軟最新消息，受微軟信任的第三方內核模式代碼簽名交叉證書已于2021年4月15日全部到期。至此以后，微軟將成為Windows內核驅動代碼簽名的唯一提供商。

如下圖所示，Digicert，Entrust, Sectigo(Comodo), Thawte等交叉證書均已到期。

（微軟公布的交叉證書過期列表）

如果是在2021年4月15日之前，將現有的已簽名內核驅動程序加了時間戳，則不會受到微軟交叉證書到期的影響；但是在這之后，新頒發的代碼簽名證書不再適用于內核模式簽名了。

現在該如何給內核驅動程序簽名呢？

交叉證書到期之后，根據微軟的最新要求微軟將不再接受第三方代碼簽名證書給驅動程序進行數字簽名，取而代之的是要對驅動程序做微軟硬件程序認證，也就是WHQL認證。

申請Windows徽標認證（WHQL認證）必須注冊Microsoft硬件程序，這可以在Microsoft硬件開發中心完成。銳成信息提供徽標認證服務，協助客戶完成對驅動程序的微軟WHQL認證，從而使客戶的內核驅動獲得微軟的數字簽名，能夠在Windows上順暢運行。

請注意：內核驅動程序每升級一版需同步更新徽標認證。關于具體如何做到內核驅動代碼簽名，請聯系銳成信息客服了解更多。