1. 項(xiàng)目概述為什么我們需要自簽名驅(qū)動(dòng)程序如果你在Windows上嘗試安裝一個(gè)自己開發(fā)的硬件驅(qū)動(dòng)或者測(cè)試一個(gè)第三方未簽名的驅(qū)動(dòng)大概率會(huì)碰到那個(gè)令人頭疼的黃色感嘆號(hào)系統(tǒng)彈窗冷冰冰地告訴你“Windows無(wú)法驗(yàn)證此驅(qū)動(dòng)程序的發(fā)布者”。這背后是微軟從Windows Vista時(shí)代開始強(qiáng)化的驅(qū)動(dòng)程序強(qiáng)制簽名策略。簡(jiǎn)單說(shuō)微軟要求所有在內(nèi)核模式也就是能直接和硬件、系統(tǒng)核心打交道的深層權(quán)限下運(yùn)行的驅(qū)動(dòng)程序都必須由一個(gè)受微軟信任的證書頒發(fā)機(jī)構(gòu)CA簽發(fā)的證書進(jìn)行數(shù)字簽名。這個(gè)機(jī)制就像給驅(qū)動(dòng)程序發(fā)了一張“良民證”系統(tǒng)通過(guò)驗(yàn)證這張“證”的真?zhèn)魏陀行詠?lái)判斷這個(gè)驅(qū)動(dòng)是否可信、是否被篡改過(guò)。那么自簽名驅(qū)動(dòng)證書就是為了解決我們這些開發(fā)者和測(cè)試者在“良民證”辦下來(lái)之前或者根本不想辦的臨時(shí)身份問(wèn)題。購(gòu)買一個(gè)受微軟信任的、能用于內(nèi)核模式代碼簽名的EV代碼簽名證書不僅流程繁瑣、需要公司資質(zhì)而且價(jià)格不菲。對(duì)于個(gè)人開發(fā)者、學(xué)生、或是公司內(nèi)部在真機(jī)上進(jìn)行驅(qū)動(dòng)測(cè)試和調(diào)試的階段自簽名證書就成了一個(gè)必不可少的工具。它允許我們?cè)谧约嚎煽氐臏y(cè)試機(jī)器上安裝并運(yùn)行我們自己編譯的驅(qū)動(dòng)程序而不用每次都去折騰禁用驅(qū)動(dòng)強(qiáng)制簽名那需要修改BIOS/UEFI設(shè)置既麻煩又不安全。這個(gè)過(guò)程的核心就是創(chuàng)建一套我們自己的“私人印章”自簽名根證書然后用它來(lái)給我們的驅(qū)動(dòng)“蓋戳”簽名最后讓我們的電腦信任這個(gè)“私人印章”將根證書安裝到受信任的根證書頒發(fā)機(jī)構(gòu)存儲(chǔ)。聽起來(lái)有點(diǎn)繞但實(shí)際操作起來(lái)借助Windows SDK里的工具和PowerShell流程可以非常清晰。2. 核心工具鏈與環(huán)境準(zhǔn)備在開始動(dòng)手之前我們需要把“廚房”準(zhǔn)備好。整個(gè)自簽名流程主要依賴兩個(gè)核心工具集Windows SDK特別是其中的簽名工具和PowerShell。別被嚇到你不需要安裝一整個(gè)Visual Studio。2.1 必備工具安裝與驗(yàn)證首先確保你的系統(tǒng)是Windows 10或Windows 11。然后我們需要獲取Windows SDK。最輕量化的方式是直接下載并安裝“Windows SDK for Windows 10/11”的獨(dú)立安裝包。在安裝時(shí)你只需要勾選“Windows Software Development Kit”以及其下的“Signing Tools for Windows”這一個(gè)功能即可。這樣安裝后你會(huì)在C:\Program Files (x86)\Windows Kits\10\bin\版本號(hào)\x64這樣的路徑下找到我們后續(xù)要用到的關(guān)鍵工具makecert.exe較舊但某些場(chǎng)景簡(jiǎn)單、certmgr.exe以及更現(xiàn)代的signtool.exe和pvk2pfx.exe。不過(guò)對(duì)于全新的Windows 11或較新的Win10系統(tǒng)我更推薦直接使用系統(tǒng)內(nèi)置的PowerShellNew-SelfSignedCertificatecmdlet和SignTool它可能已隨Visual Studio Build Tools或SDK安裝。你可以打開一個(gè)管理員權(quán)限的PowerShell窗口通過(guò)以下命令快速檢查關(guān)鍵工具是否可用# 檢查SignTool是否在環(huán)境變量中 where.exe signtool # 檢查PowerShell證書模塊是否可用 Get-Command -Name New-SelfSignedCertificate -ErrorAction SilentlyContinue如果signtool命令找不到你需要將SDK的bin目錄比如C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64添加到系統(tǒng)的PATH環(huán)境變量中或者后續(xù)在使用時(shí)指定完整路徑。注意所有與證書創(chuàng)建、簽名相關(guān)的操作強(qiáng)烈建議在管理員權(quán)限的PowerShell中進(jìn)行。因?yàn)榘惭b證書到受信任的根存儲(chǔ)區(qū)需要管理員權(quán)限否則你會(huì)遇到“拒絕訪問(wèn)”的錯(cuò)誤。2.2 理解證書存儲(chǔ)與密鑰容器在動(dòng)手創(chuàng)建證書前花兩分鐘理解兩個(gè)概念會(huì)讓你后續(xù)操作更清晰證書存儲(chǔ)Windows像一個(gè)文件柜把不同類型的證書分門別類放在不同的“抽屜”里這些“抽屜”就是證書存儲(chǔ)。我們最關(guān)心兩個(gè)“受信任的根證書頒發(fā)機(jī)構(gòu)”Cert:\LocalMachine\Root和“個(gè)人”Cert:\LocalMachine\My。根證書要放進(jìn)“受信任的根”抽屜系統(tǒng)才會(huì)信任由它簽發(fā)的所有東西而用于簽名的具體證書包含私鑰通常放在“個(gè)人”抽屜。密鑰容器與私鑰保護(hù)證書包含公鑰而對(duì)應(yīng)的私鑰是簽名行為的關(guān)鍵必須妥善保護(hù)。在創(chuàng)建證書時(shí)私鑰可以生成在軟件密鑰容器里相對(duì)方便或者使用硬件安全模塊HSM等更安全的方式。對(duì)于測(cè)試用途軟件容器足夠。你需要知道私鑰的訪問(wèn)密碼如果有的話signtool簽名時(shí)會(huì)用到。3. 創(chuàng)建自簽名根證書與代碼簽名證書這是整個(gè)流程的第一步也是奠定信任基礎(chǔ)的一步。我們將創(chuàng)建一個(gè)自簽名的根證書CA然后用這個(gè)根證書去簽發(fā)一個(gè)具體的代碼簽名證書。為什么分兩步模仿了真實(shí)世界的PKI體系結(jié)構(gòu)清晰也便于管理例如一個(gè)根證書可以簽發(fā)多個(gè)不同用途的子證書。3.1 使用PowerShell創(chuàng)建證書這是目前最推薦的方式無(wú)需額外工具直接使用PowerShell內(nèi)置命令清晰且強(qiáng)大。# 以管理員身份運(yùn)行PowerShell # 1. 為當(dāng)前用戶創(chuàng)建一個(gè)自簽名根證書CA證書 # -DnsName 指定主題名稱這里我們起名為“MyPrivateRootCA” # -KeyUsage 指定證書用途CertSign表示可用于簽發(fā)其他證書CRLSign用于吊銷列表簽名 # -KeyUsageProperty All 允許所有密鑰用法 # -KeyAlgorithm指定算法為RSA-KeyLength 2048指定密鑰長(zhǎng)度 # -HashAlgorithm指定哈希算法為SHA256 # -KeyExportPolicy Exportable 允許私鑰可導(dǎo)出重要方便備份和轉(zhuǎn)移到其他機(jī)器 # -CertStoreLocation 指定證書存儲(chǔ)位置為當(dāng)前用戶的“個(gè)人”存儲(chǔ) $rootCert New-SelfSignedCertificate -Type Custom -KeySpec Signature -Subject “CNMyPrivateRootCA” -KeyUsage CertSign, CRLSign, DigitalSignature -KeyUsageProperty All -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -CertStoreLocation “Cert:\CurrentUser\My” -NotAfter (Get-Date).AddYears(10) # 設(shè)置10年有效期 Write-Host “根證書指紋” $rootCert.Thumbprint # 2. 將根證書導(dǎo)出為.cer文件僅公鑰用于分發(fā)和安裝到“受信任的根” $rootCertPath “Cert:\CurrentUser\My\$($rootCert.Thumbprint)” Export-Certificate -Cert $rootCertPath -FilePath “.\MyPrivateRootCA.cer” # 3. 使用剛創(chuàng)建的根證書簽發(fā)一個(gè)代碼簽名證書 # -Signer 參數(shù)指定用哪個(gè)證書來(lái)簽發(fā)即我們的根證書 # -TextExtension 設(shè)置增強(qiáng)型密鑰用法必須包含代碼簽名1.3.6.1.5.5.7.3.3 # -KeyUsage DigitalSignature 指定密鑰用法為數(shù)字簽名 $codeSignCert New-SelfSignedCertificate -Type CodeSigning -KeySpec Signature -Subject “CNMyDriverCodeSign” -KeyUsage DigitalSignature -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -CertStoreLocation “Cert:\CurrentUser\My” -Signer $rootCert -TextExtension (“2.5.29.37{text}1.3.6.1.5.5.7.3.3”) -NotAfter (Get-Date).AddYears(5) Write-Host “代碼簽名證書指紋” $codeSignCert.Thumbprint # 4. 將代碼簽名證書連同其私鑰導(dǎo)出為.pfx文件密碼保護(hù) # 這個(gè).pfx文件是給signtool用來(lái)簽名的關(guān)鍵文件 $securePassword ConvertTo-SecureString -String “YourStrongPassword123!” -Force -AsPlainText Export-PfxCertificate -Cert $codeSignCertPath -FilePath “.\MyDriverCodeSign.pfx” -Password $securePassword執(zhí)行完以上腳本你會(huì)在當(dāng)前目錄得到兩個(gè)文件MyPrivateRootCA.cer根證書公鑰和MyDriverCodeSign.pfx代碼簽名證書及私鑰有密碼保護(hù)。請(qǐng)務(wù)必妥善保管.pfx文件和密碼私鑰泄露等同于你的簽名權(quán)泄露。3.2 傳統(tǒng)方式使用MakeCert和Pvk2Pfx備用方案如果你的環(huán)境非常老或者遇到PowerShell命令兼容性問(wèn)題可以使用Windows SDK中的傳統(tǒng)工具。但請(qǐng)注意makecert已被標(biāo)記為棄用。REM 以管理員身份打開CMD并切換到SDK工具目錄如 REM cd “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64” REM 1. 創(chuàng)建根證書的私鑰(.pvk)和證書(.cer) makecert -r -pe -n “CNMyPrivateRootCA” -ss Root -sr LocalMachine -sky signature -sv MyRootCA.pvk MyRootCA.cer REM 執(zhí)行上述命令后會(huì)彈出窗口讓你設(shè)置私鑰的保護(hù)密碼請(qǐng)牢記。 REM 2. 使用根證書創(chuàng)建一個(gè)代碼簽名證書 makecert -pe -n “CNMyDriverCodeSign” -ss MY -sr LocalMachine -sky signature -eku 1.3.6.1.5.5.7.3.3 -iv MyRootCA.pvk -ic MyRootCA.cer MyDriverCodeSign.cer REM 3. 將.cer和.pvk合并成.pfx文件signtool需要的格式 pvk2pfx -pvk MyRootCA.pvk -spc MyRootCA.cer -pfx MyRootCA.pfx -pi 你的私鑰密碼 pvk2pfx -pvk MyDriverCodeSign.pvk -spc MyDriverCodeSign.cer -pfx MyDriverCodeSign.pfx -pi 你的私鑰密碼實(shí)操心得PowerShell方案是首選它更現(xiàn)代與系統(tǒng)集成更好避免了圖形界面彈窗易于腳本化自動(dòng)化。傳統(tǒng)工具鏈在涉及復(fù)雜屬性設(shè)置時(shí)可能更靈活但對(duì)于標(biāo)準(zhǔn)的驅(qū)動(dòng)自簽名PowerShell完全夠用。務(wù)必記錄下證書的指紋Thumbprint或保存好.pfx文件路徑下一步要用。4. 安裝證書并配置系統(tǒng)信任創(chuàng)建了證書只是做好了“印章”現(xiàn)在需要讓系統(tǒng)認(rèn)識(shí)并信任這個(gè)“印章”。4.1 安裝根證書到“受信任的根證書頒發(fā)機(jī)構(gòu)”這是最關(guān)鍵的一步。系統(tǒng)必須信任我們的自簽名根證書CA才會(huì)信任由它簽發(fā)的任何子證書包括我們的驅(qū)動(dòng)簽名證書。方法一通過(guò)證書管理器MMC圖形界面安裝推薦給新手按Win R輸入mmc回車打開管理控制臺(tái)。點(diǎn)擊“文件” - “添加/刪除管理單元”。在左側(cè)列表找到“證書”點(diǎn)擊“添加”。選擇“計(jì)算機(jī)賬戶”點(diǎn)擊“下一步”然后選擇“本地計(jì)算機(jī)”點(diǎn)擊“完成”-“確定”。在控制臺(tái)左側(cè)展開“證書本地計(jì)算機(jī)”右鍵點(diǎn)擊“受信任的根證書頒發(fā)機(jī)構(gòu)” - “所有任務(wù)” - “導(dǎo)入”。在導(dǎo)入向?qū)е袨g覽并選擇你剛才生成的MyPrivateRootCA.cer文件。后續(xù)步驟全部點(diǎn)擊“下一步”或“完成”直到導(dǎo)入成功。方法二通過(guò)PowerShell命令安裝適合自動(dòng)化# 以管理員身份運(yùn)行PowerShell $rootCertPath “.\MyPrivateRootCA.cer” Import-Certificate -FilePath $rootCertPath -CertStoreLocation Cert:\LocalMachine\Root執(zhí)行后你可以通過(guò)Get-ChildItem Cert:\LocalMachine\Root | Where-Object {$_.Subject -eq “CNMyPrivateRootCA”}來(lái)驗(yàn)證根證書是否已成功安裝。4.2 確認(rèn)代碼簽名證書在“個(gè)人”存儲(chǔ)中如果你按照第3節(jié)的PowerShell腳本操作代碼簽名證書已經(jīng)自動(dòng)安裝到了當(dāng)前用戶的“個(gè)人”存儲(chǔ)Cert:\CurrentUser\My。對(duì)于驅(qū)動(dòng)簽名有時(shí)需要將其安裝到本地計(jì)算機(jī)的“個(gè)人”存儲(chǔ)。你可以通過(guò)MMC控制臺(tái)添加“計(jì)算機(jī)賬戶”的證書管理單元查看“個(gè)人”存儲(chǔ)或者用PowerShell移動(dòng)/導(dǎo)入# 從當(dāng)前用戶存儲(chǔ)獲取證書對(duì)象 $codeSignCert Get-ChildItem Cert:\CurrentUser\My | Where-Object {$_.Subject -eq “CNMyDriverCodeSign”} | Select-Object -First 1 # 導(dǎo)出為.pfx再導(dǎo)入到本地計(jì)算機(jī)存儲(chǔ)如果尚未存在 if ($codeSignCert) { $tempPfxPath “$env:TEMP\tempCodeSign.pfx” $securePassword ConvertTo-SecureString -String “YourStrongPassword123!” -Force -AsPlainText Export-PfxCertificate -Cert $codeSignCert -FilePath $tempPfxPath -Password $securePassword Import-PfxCertificate -FilePath $tempPfxPath -CertStoreLocation Cert:\LocalMachine\My -Password $securePassword -Exportable Remove-Item $tempPfxPath }注意事項(xiàng)將根證書安裝到“受信任的根證書頒發(fā)機(jī)構(gòu)”是一個(gè)全局性的、高權(quán)限操作。這意味著任何由你這個(gè)根證書簽發(fā)的軟件在本機(jī)上都會(huì)被系統(tǒng)視為可信。因此這個(gè)根證書和對(duì)應(yīng)的私鑰必須嚴(yán)格保管僅限于測(cè)試環(huán)境使用絕不能泄露或用于生產(chǎn)環(huán)境簽名分發(fā)給他人的軟件。5. 使用SignTool為驅(qū)動(dòng)程序文件簽名現(xiàn)在“信任鏈”已經(jīng)建立我們可以開始給實(shí)際的驅(qū)動(dòng)程序文件通常是.sys、.dll、.exe或.cat文件簽名了。signtool.exe是微軟官方的簽名工具功能強(qiáng)大。5.1 為單個(gè)驅(qū)動(dòng)文件簽名假設(shè)你有一個(gè)編譯好的驅(qū)動(dòng)程序文件MyDriver.sys并且你的代碼簽名證書.pfx文件在當(dāng)前位置。# 切換到包含signtool和驅(qū)動(dòng)文件的目錄或在命令中使用完整路徑 $signtoolPath “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\signtool.exe” $driverFile “.\MyDriver.sys” $pfxFile “.\MyDriverCodeSign.pfx” $pfxPassword “YourStrongPassword123!” # 基本簽名命令 $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword $driverFile # 更完整的命令添加時(shí)間戳推薦即使證書過(guò)期簽名在時(shí)間戳?xí)r刻仍有效 $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword /tr http://timestamp.digicert.com /td SHA256 $driverFile參數(shù)解析sign執(zhí)行簽名操作。/fd SHA256指定文件摘要算法為SHA256。SHA1已不安全務(wù)必使用SHA256。/f指定包含私鑰的證書文件.pfx格式。/p提供.pfx文件的密碼。/tr指定時(shí)間戳服務(wù)器的URL。這是一個(gè)極其重要的選項(xiàng)。它會(huì)在簽名中嵌入一個(gè)來(lái)自第三方權(quán)威時(shí)間戳服務(wù)器的“時(shí)間戳”。這樣即使你的簽名證書在未來(lái)過(guò)期了系統(tǒng)也會(huì)根據(jù)時(shí)間戳判斷在證書有效期內(nèi)做的簽名仍然是有效的。沒(méi)有時(shí)間戳證書一過(guò)期簽名立即失效。/td SHA256指定時(shí)間戳請(qǐng)求的摘要算法也使用SHA256。5.2 為驅(qū)動(dòng)程序包.inf和.cat簽名對(duì)于通過(guò).inf文件安裝的驅(qū)動(dòng)通常需要對(duì)驅(qū)動(dòng)包進(jìn)行簽名而不僅僅是單個(gè).sys文件。這涉及到創(chuàng)建目錄文件.cat并對(duì)其進(jìn)行簽名。創(chuàng)建目錄文件.cat目錄文件是一個(gè)包含了驅(qū)動(dòng)包內(nèi)所有文件哈希值的集合文件。可以使用Inf2Cat.exe工具同樣在Windows SDK中來(lái)生成。$inf2catPath “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\inf2cat.exe” $driverDir “.\DriverPackage\” # 你的驅(qū)動(dòng)包目錄內(nèi)含 .inf 文件 $inf2catPath /driver:$driverDir /os:10_X64 /verbose/os參數(shù)指定目標(biāo)操作系統(tǒng)如10_X64表示W(wǎng)in10/11 64位。執(zhí)行后會(huì)在驅(qū)動(dòng)包目錄生成一個(gè).cat文件。為目錄文件.cat簽名使用signtool對(duì)生成的.cat文件進(jìn)行簽名命令與簽名.sys文件類似。$catFile “.\DriverPackage\MyDriver.cat” $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword /tr http://timestamp.digicert.com /td SHA256 $catFile修改.inf文件確保.inf文件中的[Version]節(jié)包含了正確的CatalogFile指向。[Version] ... CatalogFileMyDriver.cat簽名完成后你可以右鍵點(diǎn)擊.sys或.cat文件選擇“屬性” - “數(shù)字簽名”選項(xiàng)卡查看簽名詳情確認(rèn)簽名者是你自己的證書并且簽名有效、帶有時(shí)間戳。6. 啟用測(cè)試簽名模式與安裝驅(qū)動(dòng)即使驅(qū)動(dòng)已經(jīng)正確簽名在標(biāo)準(zhǔn)的Windows系統(tǒng)上默認(rèn)仍然只接受由微軟“Windows Hardware Developer Center”門戶簽發(fā)的、受信任的證書。為了讓系統(tǒng)接受我們自簽名的驅(qū)動(dòng)需要啟用“測(cè)試模式”。6.1 啟用測(cè)試模式在管理員權(quán)限的PowerShell或CMD中執(zhí)行bcdedit /set testsigning on執(zhí)行后必須重啟計(jì)算機(jī)。重啟后你會(huì)在桌面右下角系統(tǒng)托盤時(shí)鐘附近看到“測(cè)試模式”和Windows版本號(hào)的水印這表明測(cè)試模式已啟用。在這個(gè)模式下系統(tǒng)允許安裝由測(cè)試根證書即我們安裝的MyPrivateRootCA簽名的驅(qū)動(dòng)程序。注意測(cè)試模式會(huì)降低系統(tǒng)的安全級(jí)別因?yàn)樗试S未經(jīng)過(guò)微軟正式認(rèn)證的驅(qū)動(dòng)加載。僅應(yīng)在專用的開發(fā)或測(cè)試機(jī)器上開啟切勿在生產(chǎn)環(huán)境或個(gè)人日常使用的電腦上開啟。6.2 安裝已簽名的驅(qū)動(dòng)現(xiàn)在可以安裝你的驅(qū)動(dòng)了。有多種方法通過(guò)設(shè)備管理器如果有未知設(shè)備帶感嘆號(hào)右鍵“更新驅(qū)動(dòng)程序軟件” - “瀏覽我的計(jì)算機(jī)以查找驅(qū)動(dòng)程序軟件”選擇包含已簽名.inf和.cat文件的驅(qū)動(dòng)包目錄。使用PnPUtil命令行工具推薦這是最干凈、可腳本化的方式。# 以管理員身份運(yùn)行PowerShell pnputil /add-driver “.\DriverPackage\MyDriver.inf” /install這個(gè)命令會(huì)將驅(qū)動(dòng)包添加到驅(qū)動(dòng)存儲(chǔ)區(qū)并嘗試安裝。使用pnputil /enum-drivers可以查看所有已安裝的驅(qū)動(dòng)包。如果一切順利設(shè)備管理器中的感嘆號(hào)會(huì)消失你的驅(qū)動(dòng)將成功加載。你可以使用sc query 服務(wù)名或設(shè)備管理器的“驅(qū)動(dòng)程序詳細(xì)信息”來(lái)確認(rèn)驅(qū)動(dòng)文件路徑和簽名信息。7. 常見問(wèn)題排查與實(shí)戰(zhàn)技巧在實(shí)際操作中你幾乎一定會(huì)遇到各種報(bào)錯(cuò)。這里整理了一份速查表幫你快速定位問(wèn)題。問(wèn)題現(xiàn)象可能原因排查步驟與解決方案簽名時(shí)錯(cuò)誤SignTool Error: No certificates were found that met all the given criteria.1..pfx文件路徑或密碼錯(cuò)誤。2..pfx證書不包含代碼簽名增強(qiáng)密鑰用法EKU。3. 證書不在指定的存儲(chǔ)中。1. 檢查文件路徑和密碼確保無(wú)誤。可用certutil -dump -p 密碼 pfx文件測(cè)試。2. 用certutil -dump查看證書詳情確認(rèn)有1.3.6.1.5.5.7.3.3 (Code Signing)。3. 嘗試通過(guò)指紋從證書存儲(chǔ)簽名signtool sign /sha1 證書指紋 /tr ... 文件。安裝驅(qū)動(dòng)時(shí)提示“Windows 無(wú)法驗(yàn)證此設(shè)備所需的驅(qū)動(dòng)程序的數(shù)字簽名”1. 測(cè)試模式未開啟或未生效。2. 根證書未正確安裝到“受信任的根證書頒發(fā)機(jī)構(gòu)”。3. 驅(qū)動(dòng)文件簽名無(wú)效或損壞。1. 運(yùn)行bcdedit確認(rèn)testsigning值為Yes并已重啟。2. 在MMC中確認(rèn)MyPrivateRootCA證書在“計(jì)算機(jī)賬戶”的“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)中。3. 右鍵檢查驅(qū)動(dòng)文件屬性中的數(shù)字簽名是否有效簽名鏈?zhǔn)欠裢暾麘?yīng)顯示到你的根CA。簽名帶有時(shí)間戳但系統(tǒng)仍提示簽名證書過(guò)期時(shí)間戳服務(wù)器未響應(yīng)或返回錯(cuò)誤導(dǎo)致時(shí)間戳未成功嵌入。1. 檢查網(wǎng)絡(luò)連接。2. 嘗試更換時(shí)間戳服務(wù)器URL如微軟的http://timestamp.sectigo.com或http://timestamp.digicert.com。3. 使用signtool verify /pa /v 文件驗(yàn)證簽名和時(shí)間戳詳情。使用PnPUtil安裝時(shí)失敗錯(cuò)誤代碼0xE000024B驅(qū)動(dòng)包的.cat文件簽名無(wú)效或.inf文件中的CatalogFile指向錯(cuò)誤。1. 重新對(duì).cat文件進(jìn)行簽名并確保成功。2. 檢查.inf文件確認(rèn)CatalogFile后的文件名與實(shí)際.cat文件名完全一致。3. 嘗試手動(dòng)在設(shè)備管理器中指定安裝看是否有更具體的錯(cuò)誤信息。驅(qū)動(dòng)加載成功但設(shè)備仍無(wú)法正常工作這是驅(qū)動(dòng)本身的功能性問(wèn)題與簽名無(wú)關(guān)。1. 使用調(diào)試工具如WinDbg附加內(nèi)核調(diào)試查看驅(qū)動(dòng)加載日志和可能的BugCheck。2. 檢查系統(tǒng)事件查看器eventvwr.msc中“Windows日志”-“系統(tǒng)”里是否有來(lái)自“DriverFrameworks-UserMode”或“Kernel-PnP”的錯(cuò)誤事件。如何徹底清理測(cè)試環(huán)境需要移除驅(qū)動(dòng)、證書并關(guān)閉測(cè)試模式。1. 使用pnputil /delete-driver 驅(qū)動(dòng)包.inf的完整路徑 /uninstall /force移除驅(qū)動(dòng)包。2. 在MMC中從“受信任的根證書頒發(fā)機(jī)構(gòu)”和“個(gè)人”存儲(chǔ)中刪除你導(dǎo)入的自簽名證書。3. 運(yùn)行bcdedit /set testsigning off并重啟。獨(dú)家避坑技巧時(shí)間戳服務(wù)器是生命線一定要用/tr參數(shù)。不同的時(shí)間戳服務(wù)器可能有不同的可用性和延遲準(zhǔn)備2-3個(gè)備用如 DigiCert, Sectigo, GlobalSign。如果某個(gè)服務(wù)器失敗換一個(gè)再試。證書指紋比文件更方便一旦將代碼簽名證書導(dǎo)入到系統(tǒng)的“個(gè)人”存儲(chǔ)在signtool中使用/sha1或/sha256參數(shù)指定證書的指紋Thumbprint進(jìn)行簽名比每次都指定.pfx文件和密碼更安全、更方便尤其適合自動(dòng)化腳本。 $signtoolPath sign /fd SHA256 /sha1 “你的證書指紋” /tr http://timestamp.digicert.com /td SHA256 $driverFile交叉驗(yàn)證簽名簽名后養(yǎng)成用signtool verify /v /pa 文件命令驗(yàn)證的習(xí)慣。/pa參數(shù)使用默認(rèn)驗(yàn)證策略輸出會(huì)詳細(xì)顯示簽名者、時(shí)間戳和整個(gè)證書鏈一目了然。虛擬機(jī)是你的最佳沙盒驅(qū)動(dòng)開發(fā)與測(cè)試強(qiáng)烈建議在虛擬機(jī)如Hyper-V、VMware中進(jìn)行?？梢苑奖愕刈隹煺赵诤灻?、安裝、測(cè)試出錯(cuò)時(shí)一鍵還原避免搞亂宿主機(jī)系統(tǒng)。INF文件細(xì)節(jié)確保.inf文件中的[Version]節(jié)CatalogFile指向正確且[SourceDisksNames]和[SourceDisksFiles]等節(jié)中的文件路徑和名稱與實(shí)際文件完全匹配一個(gè)字符的錯(cuò)誤都可能導(dǎo)致安裝失敗。整個(gè)流程走下來(lái)你會(huì)發(fā)現(xiàn)驅(qū)動(dòng)自簽名的核心邏輯就是“創(chuàng)建信任鏈根CA-代碼簽名證書 - 讓系統(tǒng)信任根安裝根證書 - 用鏈中的證書簽名驅(qū)動(dòng) - 在特定模式測(cè)試模式下允許加載”。理解了這個(gè)邏輯無(wú)論工具命令如何變化你都能從容應(yīng)對(duì)。最后再次強(qiáng)調(diào)這套方法僅用于開發(fā)、測(cè)試和學(xué)習(xí)切勿將用自簽名證書簽名的驅(qū)動(dòng)分發(fā)出去。