为我拥有的一台机器签署64位Windows驱动程序

Question

我需要在我拥有的一台计算机上运行驱动程序（可以添加数字证书），而这些计算机没有连接到互联网。

Microsoft在Driver Signing Policy的详细表格中指出，当禁用安全启动时，我们可以与每个受信任方签署64位驱动程序。

但是，在Signing Driver for Public Release页面中，我们似乎只能与非常具体的政党签约。 “释放”的定义是否与我相关？我正在我拥有的特定机器上安装驱动程序，而不是将它发布到整个世界。

此外，Driver Signing Requirements for Windows（我不知道它是否已更新）提到“组件必须由Windows”信任“”的证书签名。这是什么意思？它是仅包含Microsoft root认证的驱动程序，还是只包含本地计算机知道的证书？

那么，当有人想在自己的机器上运行驱动程序而不是使用测试自签名证书时，具体要求是什么？

Answer 1

有许多驱动程序包没有SYS文件（内核模式驱动程序），并且它们的签名要求不那么严格。在您的情况下，由于您有一个SYS文件，Windows（从Windows Vista 64位开始）将接受的唯一签名类型是来自证书的签名，该证书的信任链将返回到Microsoft代码验证根。

注意：我还没有测试过Windows Server 2008或Server 2012;我的经验仅限于Windows的消费者版本。

由于您可能不想为这样的证书支付200美元，我建议{@ 3}}。我相信这会允许你运行未签名的内核模块，虽然我没有尝试过。它绝对允许您安装未签名的驱动程序包，但这是一个不同的问题。

我已经通过USB驱动程序签名完成了很多工作，并在一篇名为disabling driver signature enforcement的文章中写了我的经历。

Answer 2

您可以尝试列出here列出的工具。它是Driver Signature Enforcement Overrider。确保首先启用TestMode。我相信你必须在测试签名后重启。