1. 項目概述為什么我們需要自簽名驅(qū)動程序如果你在Windows上嘗試安裝一個自己開發(fā)的硬件驅(qū)動或者測試一個第三方未簽名的驅(qū)動大概率會碰到那個令人頭疼的黃色感嘆號系統(tǒng)彈窗冷冰冰地告訴你“Windows無法驗證此驅(qū)動程序的發(fā)布者”。這背后是微軟從Windows Vista時代開始強(qiáng)化的驅(qū)動程序強(qiáng)制簽名策略。簡單說微軟要求所有在內(nèi)核模式也就是能直接和硬件、系統(tǒng)核心打交道的深層權(quán)限下運行的驅(qū)動程序都必須由一個受微軟信任的證書頒發(fā)機(jī)構(gòu)CA簽發(fā)的證書進(jìn)行數(shù)字簽名。這個機(jī)制就像給驅(qū)動程序發(fā)了一張“良民證”系統(tǒng)通過驗證這張“證”的真?zhèn)魏陀行詠砼袛噙@個驅(qū)動是否可信、是否被篡改過。那么自簽名驅(qū)動證書就是為了解決我們這些開發(fā)者和測試者在“良民證”辦下來之前或者根本不想辦的臨時身份問題。購買一個受微軟信任的、能用于內(nèi)核模式代碼簽名的EV代碼簽名證書不僅流程繁瑣、需要公司資質(zhì)而且價格不菲。對于個人開發(fā)者、學(xué)生、或是公司內(nèi)部在真機(jī)上進(jìn)行驅(qū)動測試和調(diào)試的階段自簽名證書就成了一個必不可少的工具。它允許我們在自己可控的測試機(jī)器上安裝并運行我們自己編譯的驅(qū)動程序而不用每次都去折騰禁用驅(qū)動強(qiáng)制簽名那需要修改BIOS/UEFI設(shè)置既麻煩又不安全。這個過程的核心就是創(chuàng)建一套我們自己的“私人印章”自簽名根證書然后用它來給我們的驅(qū)動“蓋戳”簽名最后讓我們的電腦信任這個“私人印章”將根證書安裝到受信任的根證書頒發(fā)機(jī)構(gòu)存儲。聽起來有點繞但實際操作起來借助Windows SDK里的工具和PowerShell流程可以非常清晰。2. 核心工具鏈與環(huán)境準(zhǔn)備在開始動手之前我們需要把“廚房”準(zhǔn)備好。整個自簽名流程主要依賴兩個核心工具集Windows SDK特別是其中的簽名工具和PowerShell。別被嚇到你不需要安裝一整個Visual Studio。2.1 必備工具安裝與驗證首先確保你的系統(tǒng)是Windows 10或Windows 11。然后我們需要獲取Windows SDK。最輕量化的方式是直接下載并安裝“Windows SDK for Windows 10/11”的獨立安裝包。在安裝時你只需要勾選“Windows Software Development Kit”以及其下的“Signing Tools for Windows”這一個功能即可。這樣安裝后你會在C:\Program Files (x86)\Windows Kits\10\bin\版本號\x64這樣的路徑下找到我們后續(xù)要用到的關(guān)鍵工具makecert.exe較舊但某些場景簡單、certmgr.exe以及更現(xiàn)代的signtool.exe和pvk2pfx.exe。不過對于全新的Windows 11或較新的Win10系統(tǒng)我更推薦直接使用系統(tǒng)內(nèi)置的PowerShellNew-SelfSignedCertificatecmdlet和SignTool它可能已隨Visual Studio Build Tools或SDK安裝。你可以打開一個管理員權(quán)限的PowerShell窗口通過以下命令快速檢查關(guān)鍵工具是否可用# 檢查SignTool是否在環(huán)境變量中 where.exe signtool # 檢查PowerShell證書模塊是否可用 Get-Command -Name New-SelfSignedCertificate -ErrorAction SilentlyContinue如果signtool命令找不到你需要將SDK的bin目錄比如C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64添加到系統(tǒng)的PATH環(huán)境變量中或者后續(xù)在使用時指定完整路徑。注意所有與證書創(chuàng)建、簽名相關(guān)的操作強(qiáng)烈建議在管理員權(quán)限的PowerShell中進(jìn)行。因為安裝證書到受信任的根存儲區(qū)需要管理員權(quán)限否則你會遇到“拒絕訪問”的錯誤。2.2 理解證書存儲與密鑰容器在動手創(chuàng)建證書前花兩分鐘理解兩個概念會讓你后續(xù)操作更清晰證書存儲Windows像一個文件柜把不同類型的證書分門別類放在不同的“抽屜”里這些“抽屜”就是證書存儲。我們最關(guān)心兩個“受信任的根證書頒發(fā)機(jī)構(gòu)”Cert:\LocalMachine\Root和“個人”Cert:\LocalMachine\My。根證書要放進(jìn)“受信任的根”抽屜系統(tǒng)才會信任由它簽發(fā)的所有東西而用于簽名的具體證書包含私鑰通常放在“個人”抽屜。密鑰容器與私鑰保護(hù)證書包含公鑰而對應(yīng)的私鑰是簽名行為的關(guān)鍵必須妥善保護(hù)。在創(chuàng)建證書時私鑰可以生成在軟件密鑰容器里相對方便或者使用硬件安全模塊HSM等更安全的方式。對于測試用途軟件容器足夠。你需要知道私鑰的訪問密碼如果有的話signtool簽名時會用到。3. 創(chuàng)建自簽名根證書與代碼簽名證書這是整個流程的第一步也是奠定信任基礎(chǔ)的一步。我們將創(chuàng)建一個自簽名的根證書CA然后用這個根證書去簽發(fā)一個具體的代碼簽名證書。為什么分兩步模仿了真實世界的PKI體系結(jié)構(gòu)清晰也便于管理例如一個根證書可以簽發(fā)多個不同用途的子證書。3.1 使用PowerShell創(chuàng)建證書這是目前最推薦的方式無需額外工具直接使用PowerShell內(nèi)置命令清晰且強(qiáng)大。# 以管理員身份運行PowerShell # 1. 為當(dāng)前用戶創(chuàng)建一個自簽名根證書CA證書 # -DnsName 指定主題名稱這里我們起名為“MyPrivateRootCA” # -KeyUsage 指定證書用途CertSign表示可用于簽發(fā)其他證書CRLSign用于吊銷列表簽名 # -KeyUsageProperty All 允許所有密鑰用法 # -KeyAlgorithm指定算法為RSA-KeyLength 2048指定密鑰長度 # -HashAlgorithm指定哈希算法為SHA256 # -KeyExportPolicy Exportable 允許私鑰可導(dǎo)出重要方便備份和轉(zhuǎn)移到其他機(jī)器 # -CertStoreLocation 指定證書存儲位置為當(dāng)前用戶的“個人”存儲 $rootCert New-SelfSignedCertificate -Type Custom -KeySpec Signature -Subject “CNMyPrivateRootCA” -KeyUsage CertSign, CRLSign, DigitalSignature -KeyUsageProperty All -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -CertStoreLocation “Cert:\CurrentUser\My” -NotAfter (Get-Date).AddYears(10) # 設(shè)置10年有效期 Write-Host “根證書指紋” $rootCert.Thumbprint # 2. 將根證書導(dǎo)出為.cer文件僅公鑰用于分發(fā)和安裝到“受信任的根” $rootCertPath “Cert:\CurrentUser\My\$($rootCert.Thumbprint)” Export-Certificate -Cert $rootCertPath -FilePath “.\MyPrivateRootCA.cer” # 3. 使用剛創(chuàng)建的根證書簽發(fā)一個代碼簽名證書 # -Signer 參數(shù)指定用哪個證書來簽發(fā)即我們的根證書 # -TextExtension 設(shè)置增強(qiáng)型密鑰用法必須包含代碼簽名1.3.6.1.5.5.7.3.3 # -KeyUsage DigitalSignature 指定密鑰用法為數(shù)字簽名 $codeSignCert New-SelfSignedCertificate -Type CodeSigning -KeySpec Signature -Subject “CNMyDriverCodeSign” -KeyUsage DigitalSignature -KeyAlgorithm RSA -KeyLength 2048 -HashAlgorithm SHA256 -KeyExportPolicy Exportable -CertStoreLocation “Cert:\CurrentUser\My” -Signer $rootCert -TextExtension (“2.5.29.37{text}1.3.6.1.5.5.7.3.3”) -NotAfter (Get-Date).AddYears(5) Write-Host “代碼簽名證書指紋” $codeSignCert.Thumbprint # 4. 將代碼簽名證書連同其私鑰導(dǎo)出為.pfx文件密碼保護(hù) # 這個.pfx文件是給signtool用來簽名的關(guān)鍵文件 $securePassword ConvertTo-SecureString -String “YourStrongPassword123!” -Force -AsPlainText Export-PfxCertificate -Cert $codeSignCertPath -FilePath “.\MyDriverCodeSign.pfx” -Password $securePassword執(zhí)行完以上腳本你會在當(dāng)前目錄得到兩個文件MyPrivateRootCA.cer根證書公鑰和MyDriverCodeSign.pfx代碼簽名證書及私鑰有密碼保護(hù)。請務(wù)必妥善保管.pfx文件和密碼私鑰泄露等同于你的簽名權(quán)泄露。3.2 傳統(tǒng)方式使用MakeCert和Pvk2Pfx備用方案如果你的環(huán)境非常老或者遇到PowerShell命令兼容性問題可以使用Windows SDK中的傳統(tǒng)工具。但請注意makecert已被標(biāo)記為棄用。REM 以管理員身份打開CMD并切換到SDK工具目錄如 REM cd “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64” REM 1. 創(chuàng)建根證書的私鑰(.pvk)和證書(.cer) makecert -r -pe -n “CNMyPrivateRootCA” -ss Root -sr LocalMachine -sky signature -sv MyRootCA.pvk MyRootCA.cer REM 執(zhí)行上述命令后會彈出窗口讓你設(shè)置私鑰的保護(hù)密碼請牢記。 REM 2. 使用根證書創(chuàng)建一個代碼簽名證書 makecert -pe -n “CNMyDriverCodeSign” -ss MY -sr LocalMachine -sky signature -eku 1.3.6.1.5.5.7.3.3 -iv MyRootCA.pvk -ic MyRootCA.cer MyDriverCodeSign.cer REM 3. 將.cer和.pvk合并成.pfx文件signtool需要的格式 pvk2pfx -pvk MyRootCA.pvk -spc MyRootCA.cer -pfx MyRootCA.pfx -pi 你的私鑰密碼 pvk2pfx -pvk MyDriverCodeSign.pvk -spc MyDriverCodeSign.cer -pfx MyDriverCodeSign.pfx -pi 你的私鑰密碼實操心得PowerShell方案是首選它更現(xiàn)代與系統(tǒng)集成更好避免了圖形界面彈窗易于腳本化自動化。傳統(tǒng)工具鏈在涉及復(fù)雜屬性設(shè)置時可能更靈活但對于標(biāo)準(zhǔn)的驅(qū)動自簽名PowerShell完全夠用。務(wù)必記錄下證書的指紋Thumbprint或保存好.pfx文件路徑下一步要用。4. 安裝證書并配置系統(tǒng)信任創(chuàng)建了證書只是做好了“印章”現(xiàn)在需要讓系統(tǒng)認(rèn)識并信任這個“印章”。4.1 安裝根證書到“受信任的根證書頒發(fā)機(jī)構(gòu)”這是最關(guān)鍵的一步。系統(tǒng)必須信任我們的自簽名根證書CA才會信任由它簽發(fā)的任何子證書包括我們的驅(qū)動簽名證書。方法一通過證書管理器MMC圖形界面安裝推薦給新手按Win R輸入mmc回車打開管理控制臺。點擊“文件” - “添加/刪除管理單元”。在左側(cè)列表找到“證書”點擊“添加”。選擇“計算機(jī)賬戶”點擊“下一步”然后選擇“本地計算機(jī)”點擊“完成”-“確定”。在控制臺左側(cè)展開“證書本地計算機(jī)”右鍵點擊“受信任的根證書頒發(fā)機(jī)構(gòu)” - “所有任務(wù)” - “導(dǎo)入”。在導(dǎo)入向?qū)е袨g覽并選擇你剛才生成的MyPrivateRootCA.cer文件。后續(xù)步驟全部點擊“下一步”或“完成”直到導(dǎo)入成功。方法二通過PowerShell命令安裝適合自動化# 以管理員身份運行PowerShell $rootCertPath “.\MyPrivateRootCA.cer” Import-Certificate -FilePath $rootCertPath -CertStoreLocation Cert:\LocalMachine\Root執(zhí)行后你可以通過Get-ChildItem Cert:\LocalMachine\Root | Where-Object {$_.Subject -eq “CNMyPrivateRootCA”}來驗證根證書是否已成功安裝。4.2 確認(rèn)代碼簽名證書在“個人”存儲中如果你按照第3節(jié)的PowerShell腳本操作代碼簽名證書已經(jīng)自動安裝到了當(dāng)前用戶的“個人”存儲Cert:\CurrentUser\My。對于驅(qū)動簽名有時需要將其安裝到本地計算機(jī)的“個人”存儲。你可以通過MMC控制臺添加“計算機(jī)賬戶”的證書管理單元查看“個人”存儲或者用PowerShell移動/導(dǎo)入# 從當(dāng)前用戶存儲獲取證書對象 $codeSignCert Get-ChildItem Cert:\CurrentUser\My | Where-Object {$_.Subject -eq “CNMyDriverCodeSign”} | Select-Object -First 1 # 導(dǎo)出為.pfx再導(dǎo)入到本地計算機(jī)存儲如果尚未存在 if ($codeSignCert) { $tempPfxPath “$env:TEMP\tempCodeSign.pfx” $securePassword ConvertTo-SecureString -String “YourStrongPassword123!” -Force -AsPlainText Export-PfxCertificate -Cert $codeSignCert -FilePath $tempPfxPath -Password $securePassword Import-PfxCertificate -FilePath $tempPfxPath -CertStoreLocation Cert:\LocalMachine\My -Password $securePassword -Exportable Remove-Item $tempPfxPath }注意事項將根證書安裝到“受信任的根證書頒發(fā)機(jī)構(gòu)”是一個全局性的、高權(quán)限操作。這意味著任何由你這個根證書簽發(fā)的軟件在本機(jī)上都會被系統(tǒng)視為可信。因此這個根證書和對應(yīng)的私鑰必須嚴(yán)格保管僅限于測試環(huán)境使用絕不能泄露或用于生產(chǎn)環(huán)境簽名分發(fā)給他人的軟件。5. 使用SignTool為驅(qū)動程序文件簽名現(xiàn)在“信任鏈”已經(jīng)建立我們可以開始給實際的驅(qū)動程序文件通常是.sys、.dll、.exe或.cat文件簽名了。signtool.exe是微軟官方的簽名工具功能強(qiáng)大。5.1 為單個驅(qū)動文件簽名假設(shè)你有一個編譯好的驅(qū)動程序文件MyDriver.sys并且你的代碼簽名證書.pfx文件在當(dāng)前位置。# 切換到包含signtool和驅(qū)動文件的目錄或在命令中使用完整路徑 $signtoolPath “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\signtool.exe” $driverFile “.\MyDriver.sys” $pfxFile “.\MyDriverCodeSign.pfx” $pfxPassword “YourStrongPassword123!” # 基本簽名命令 $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword $driverFile # 更完整的命令添加時間戳推薦即使證書過期簽名在時間戳?xí)r刻仍有效 $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword /tr http://timestamp.digicert.com /td SHA256 $driverFile參數(shù)解析sign執(zhí)行簽名操作。/fd SHA256指定文件摘要算法為SHA256。SHA1已不安全務(wù)必使用SHA256。/f指定包含私鑰的證書文件.pfx格式。/p提供.pfx文件的密碼。/tr指定時間戳服務(wù)器的URL。這是一個極其重要的選項。它會在簽名中嵌入一個來自第三方權(quán)威時間戳服務(wù)器的“時間戳”。這樣即使你的簽名證書在未來過期了系統(tǒng)也會根據(jù)時間戳判斷在證書有效期內(nèi)做的簽名仍然是有效的。沒有時間戳證書一過期簽名立即失效。/td SHA256指定時間戳請求的摘要算法也使用SHA256。5.2 為驅(qū)動程序包.inf和.cat簽名對于通過.inf文件安裝的驅(qū)動通常需要對驅(qū)動包進(jìn)行簽名而不僅僅是單個.sys文件。這涉及到創(chuàng)建目錄文件.cat并對其進(jìn)行簽名。創(chuàng)建目錄文件.cat目錄文件是一個包含了驅(qū)動包內(nèi)所有文件哈希值的集合文件?？梢允褂肐nf2Cat.exe工具同樣在Windows SDK中來生成。$inf2catPath “C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\inf2cat.exe” $driverDir “.\DriverPackage\” # 你的驅(qū)動包目錄內(nèi)含 .inf 文件 $inf2catPath /driver:$driverDir /os:10_X64 /verbose/os參數(shù)指定目標(biāo)操作系統(tǒng)如10_X64表示W(wǎng)in10/11 64位。執(zhí)行后會在驅(qū)動包目錄生成一個.cat文件。為目錄文件.cat簽名使用signtool對生成的.cat文件進(jìn)行簽名命令與簽名.sys文件類似。$catFile “.\DriverPackage\MyDriver.cat” $signtoolPath sign /fd SHA256 /f $pfxFile /p $pfxPassword /tr http://timestamp.digicert.com /td SHA256 $catFile修改.inf文件確保.inf文件中的[Version]節(jié)包含了正確的CatalogFile指向。[Version] ... CatalogFileMyDriver.cat簽名完成后你可以右鍵點擊.sys或.cat文件選擇“屬性” - “數(shù)字簽名”選項卡查看簽名詳情確認(rèn)簽名者是你自己的證書并且簽名有效、帶有時間戳。6. 啟用測試簽名模式與安裝驅(qū)動即使驅(qū)動已經(jīng)正確簽名在標(biāo)準(zhǔn)的Windows系統(tǒng)上默認(rèn)仍然只接受由微軟“Windows Hardware Developer Center”門戶簽發(fā)的、受信任的證書。為了讓系統(tǒng)接受我們自簽名的驅(qū)動需要啟用“測試模式”。6.1 啟用測試模式在管理員權(quán)限的PowerShell或CMD中執(zhí)行bcdedit /set testsigning on執(zhí)行后必須重啟計算機(jī)。重啟后你會在桌面右下角系統(tǒng)托盤時鐘附近看到“測試模式”和Windows版本號的水印這表明測試模式已啟用。在這個模式下系統(tǒng)允許安裝由測試根證書即我們安裝的MyPrivateRootCA簽名的驅(qū)動程序。注意測試模式會降低系統(tǒng)的安全級別因為它允許未經(jīng)過微軟正式認(rèn)證的驅(qū)動加載。僅應(yīng)在專用的開發(fā)或測試機(jī)器上開啟切勿在生產(chǎn)環(huán)境或個人日常使用的電腦上開啟。6.2 安裝已簽名的驅(qū)動現(xiàn)在可以安裝你的驅(qū)動了。有多種方法通過設(shè)備管理器如果有未知設(shè)備帶感嘆號右鍵“更新驅(qū)動程序軟件” - “瀏覽我的計算機(jī)以查找驅(qū)動程序軟件”選擇包含已簽名.inf和.cat文件的驅(qū)動包目錄。使用PnPUtil命令行工具推薦這是最干凈、可腳本化的方式。# 以管理員身份運行PowerShell pnputil /add-driver “.\DriverPackage\MyDriver.inf” /install這個命令會將驅(qū)動包添加到驅(qū)動存儲區(qū)并嘗試安裝。使用pnputil /enum-drivers可以查看所有已安裝的驅(qū)動包。如果一切順利設(shè)備管理器中的感嘆號會消失你的驅(qū)動將成功加載。你可以使用sc query 服務(wù)名或設(shè)備管理器的“驅(qū)動程序詳細(xì)信息”來確認(rèn)驅(qū)動文件路徑和簽名信息。7. 常見問題排查與實戰(zhàn)技巧在實際操作中你幾乎一定會遇到各種報錯。這里整理了一份速查表幫你快速定位問題。問題現(xiàn)象可能原因排查步驟與解決方案簽名時錯誤SignTool Error: No certificates were found that met all the given criteria.1..pfx文件路徑或密碼錯誤。2..pfx證書不包含代碼簽名增強(qiáng)密鑰用法EKU。3. 證書不在指定的存儲中。1. 檢查文件路徑和密碼確保無誤?？捎胏ertutil -dump -p 密碼 pfx文件測試。2. 用certutil -dump查看證書詳情確認(rèn)有1.3.6.1.5.5.7.3.3 (Code Signing)。3. 嘗試通過指紋從證書存儲簽名signtool sign /sha1 證書指紋 /tr ... 文件。安裝驅(qū)動時提示“Windows 無法驗證此設(shè)備所需的驅(qū)動程序的數(shù)字簽名”1. 測試模式未開啟或未生效。2. 根證書未正確安裝到“受信任的根證書頒發(fā)機(jī)構(gòu)”。3. 驅(qū)動文件簽名無效或損壞。1. 運行bcdedit確認(rèn)testsigning值為Yes并已重啟。2. 在MMC中確認(rèn)MyPrivateRootCA證書在“計算機(jī)賬戶”的“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲中。3. 右鍵檢查驅(qū)動文件屬性中的數(shù)字簽名是否有效簽名鏈?zhǔn)欠裢暾麘?yīng)顯示到你的根CA。簽名帶有時間戳但系統(tǒng)仍提示簽名證書過期時間戳服務(wù)器未響應(yīng)或返回錯誤導(dǎo)致時間戳未成功嵌入。1. 檢查網(wǎng)絡(luò)連接。2. 嘗試更換時間戳服務(wù)器URL如微軟的http://timestamp.sectigo.com或http://timestamp.digicert.com。3. 使用signtool verify /pa /v 文件驗證簽名和時間戳詳情。使用PnPUtil安裝時失敗錯誤代碼0xE000024B驅(qū)動包的.cat文件簽名無效或.inf文件中的CatalogFile指向錯誤。1. 重新對.cat文件進(jìn)行簽名并確保成功。2. 檢查.inf文件確認(rèn)CatalogFile后的文件名與實際.cat文件名完全一致。3. 嘗試手動在設(shè)備管理器中指定安裝看是否有更具體的錯誤信息。驅(qū)動加載成功但設(shè)備仍無法正常工作這是驅(qū)動本身的功能性問題與簽名無關(guān)。1. 使用調(diào)試工具如WinDbg附加內(nèi)核調(diào)試查看驅(qū)動加載日志和可能的BugCheck。2. 檢查系統(tǒng)事件查看器eventvwr.msc中“Windows日志”-“系統(tǒng)”里是否有來自“DriverFrameworks-UserMode”或“Kernel-PnP”的錯誤事件。如何徹底清理測試環(huán)境需要移除驅(qū)動、證書并關(guān)閉測試模式。1. 使用pnputil /delete-driver 驅(qū)動包.inf的完整路徑 /uninstall /force移除驅(qū)動包。2. 在MMC中從“受信任的根證書頒發(fā)機(jī)構(gòu)”和“個人”存儲中刪除你導(dǎo)入的自簽名證書。3. 運行bcdedit /set testsigning off并重啟。獨家避坑技巧時間戳服務(wù)器是生命線一定要用/tr參數(shù)。不同的時間戳服務(wù)器可能有不同的可用性和延遲準(zhǔn)備2-3個備用如 DigiCert, Sectigo, GlobalSign。如果某個服務(wù)器失敗換一個再試。證書指紋比文件更方便一旦將代碼簽名證書導(dǎo)入到系統(tǒng)的“個人”存儲在signtool中使用/sha1或/sha256參數(shù)指定證書的指紋Thumbprint進(jìn)行簽名比每次都指定.pfx文件和密碼更安全、更方便尤其適合自動化腳本。 $signtoolPath sign /fd SHA256 /sha1 “你的證書指紋” /tr http://timestamp.digicert.com /td SHA256 $driverFile交叉驗證簽名簽名后養(yǎng)成用signtool verify /v /pa 文件命令驗證的習(xí)慣。/pa參數(shù)使用默認(rèn)驗證策略輸出會詳細(xì)顯示簽名者、時間戳和整個證書鏈一目了然。虛擬機(jī)是你的最佳沙盒驅(qū)動開發(fā)與測試強(qiáng)烈建議在虛擬機(jī)如Hyper-V、VMware中進(jìn)行。可以方便地做快照在簽名、安裝、測試出錯時一鍵還原避免搞亂宿主機(jī)系統(tǒng)。INF文件細(xì)節(jié)確保.inf文件中的[Version]節(jié)CatalogFile指向正確且[SourceDisksNames]和[SourceDisksFiles]等節(jié)中的文件路徑和名稱與實際文件完全匹配一個字符的錯誤都可能導(dǎo)致安裝失敗。整個流程走下來你會發(fā)現(xiàn)驅(qū)動自簽名的核心邏輯就是“創(chuàng)建信任鏈根CA-代碼簽名證書 - 讓系統(tǒng)信任根安裝根證書 - 用鏈中的證書簽名驅(qū)動 - 在特定模式測試模式下允許加載”。理解了這個邏輯無論工具命令如何變化你都能從容應(yīng)對。最后再次強(qiáng)調(diào)這套方法僅用于開發(fā)、測試和學(xué)習(xí)切勿將用自簽名證書簽名的驅(qū)動分發(fā)出去。