Прекращение использования сертификатов издателя программного обеспечения, сертификатов коммерческого выпуска и сертификатов коммерческого тестирования

Осторожность

Большинство перекрестных сертификатов истекло в июле 2021 года. Нельзя использовать сертификаты подписывания кода, цепочки с истекшим сроком действия перекрестных сертификатов для создания цифровых подписей в режиме ядра для любой версии Windows.

Доверенные корневые программы Майкрософт больше не поддерживают корневые сертификаты, имеющие возможности подписывания в режиме ядра.

Требования к политике см. в статье о требованиях к подписи кода в режиме ядра Windows 10.

Существующие кросс-подписанные корневые сертификаты с возможностью подписания кода в режиме ядра продолжают работать до истечения срока действия. Все сертификаты издателя программного обеспечения, сертификаты коммерческого выпуска и коммерческие тестовые сертификаты, связанные с этими корневыми сертификатами, также становятся недействительными в те же сроки.

Чтобы получить подпись драйвера, сначала зарегистрируйтесь в программе Центра разработки оборудования Для Windows.

Часто задаваемые вопросы

Как найти расписание истечения срока действия доверенных кросс-сертификатов?

Истек срок действия всех перекрестных доверенных корневых сертификатов.

Существуют ли альтернативы сертификатам с перекрестной подписью для тестирования драйверов?

Доступны следующие процедуры. Для всех методов необходимо включить параметр загрузки TESTSIGNING.

Сведения о тестировании драйверов при загрузке см. в статье о том, как установить тестовый драйвер, необходимый для установки и загрузки Windows.

Дополнительные сведения см. в статье "Введение в подписывание драйверов во время разработки и тестирования".

Как отразятся на существующих подписанных пакетах драйверов?

Пока пакеты драйверов отмечены временной меткой до окончания срока действия сертификата листовой подписи, пакеты продолжают работать.

Существует ли способ запуска рабочих пакетов драйверов, не предоставляя его корпорации Майкрософт?

Нет, все пакеты драйверов рабочей среды должны быть отправлены и подписаны корпорацией Майкрософт.

Требуется ли каждая новая рабочая версия пакета драйверов для подписи Майкрософт?

Да, каждый раз при перестроении пакета драйвера производственного уровня корпорация Майкрософт должна подписывать пакет.

Можно ли подписать недрайверский код с существующими сертификатами, выданными сторонним поставщиком?

Да, эти сертификаты продолжают работать до истечения срока их действия. Код, подписанный с помощью этих сертификатов, выполняется только в пользовательском режиме, если он не имеет допустимой подписи Майкрософт.

Можно ли продолжать использовать сертификат EV для подписывания отправки в Центр разработки оборудования?

Да, сертификаты расширенной проверки (EV) продолжают работать до истечения срока действия. Если вы подписываете драйвер в режиме ядра с сертификатом EV после истечения срока действия кросс-сертификата, результирующий драйвер не загружается, не работает и не устанавливается.

Как узнать, могут ли запланированные сроки действия повлиять на сертификат подписи?

Если цепочка кросс-сертификатов заканчивается Microsoft Code Verification Root, то сертификат подписи затрагивается.

Чтобы просмотреть цепочку signtool verify /v /kp <mydriver.sys> кросс-сертификатов, выполните команду. Рассмотрим пример.

Снимок экрана: выходные данные из команды средства подписи, определяющей цепочку кросс-сертификатов.

Как автоматизировать тестовую подпись Microsoft для интеграции с процессами сборки моей организации?

Процессы сборки могут вызывать API Центра разработки оборудования.

Примеры, демонстрирующие использование, см. в репозитории Surface Dev Center Manager (SDCM) на GitHub.

Является ли корпорация Майкрософт единственным поставщиком подписей кода в режиме рабочего ядра?

Да.

Как запустить драйверы в Windows XP, если центр разработки оборудования не предоставляет подписи драйверов?

Драйверы по-прежнему могут быть подписаны с помощью сертификата подписи кода сторонних производителей. Однако сертификат, подписанный драйвером, должен быть импортирован в Local Computer Trusted Publishers хранилище сертификатов на целевом компьютере. Дополнительные сведения см. в хранилище сертификатов доверенных издателей.

Как параметры подписывания в производственной среде различаются в зависимости от версии Windows?

Предупреждение

Перекрестное подписание больше не принимается для подписывания водителя. Использование кросс-сертификатов для подписывания драйверов в режиме ядра является нарушением политики доверенной корневой программы Майкрософт (TRP). TRP больше не поддерживает корневые сертификаты, имеющие возможности подписывания в режиме ядра. Сертификаты в нарушение политик TRP Майкрософт будут отозваны ЦС.

Если драйвер работает в Windows 7, 8 или 8.1, драйвер должен быть подписан с помощью программы совместимости оборудования Windows. Чтобы приступить к работе, см. статью "Создание новой аппаратной заявки".

Начиная с Windows 10, используйте либо программу совместимости оборудования Windows (WHCP), либо аттестационную подпись.

Если у вас возникли проблемы с подписью драйвера с помощью WHCP, сообщите детали с помощью одного из следующих вариантов:

  • Last updated on